• Linux lsof 命令


    lsof命令简介

    lsof是list open files的简称,它的作用主要是列出系统中打开的文件,基本上linux系统中所有的对象都可以看作文件,lsof可以查看用户和进程操作了哪些文件,也可以查看系统中网络的使用情况,以及设备的信息。

    在终端下输入lsof命令即可显示系统打开的文件,它访问核心内存和各种文件,需要root用户身份才能发挥其功能。

    安装:

    yum -y install lsof

    选项

    -a:列出打开文件存在的进程;
    -c<进程名>:列出指定进程所打开的文件;
    -g:列出GID号进程详情;
    -d<文件号>:列出占用该文件号的进程;
    +d<目录>:列出目录下被打开的文件;
    +D<目录>:递归列出目录下被打开的文件;
    -n<目录>:列出使用NFS的文件;
    -i<条件>:列出符合条件的进程。(46、协议、:端口、 @ip )
    -p<进程号>:列出指定进程号所打开的文件;
    -u:列出UID号进程详情;
    -h:显示帮助信息;
    -v:显示版本信息。

    常用参数

    lsof语法格式是:
    lsof [options] filename

    lsof abc.txt 显示开启文件abc.txt的进程
    lsof -c abc 显示出以字母 abc 开头进程现在打开的文件
    lsof -p 1234 列出进程号为1234的进程所打开的文件
    lsof -g gname/gid 显示归属gname或gid的进程情况
    lsof -u uname/uid 显示归属uname或uid的进程情况
    lsof +d /usr/local/ 显示目录下被进程开启的文件
    lsof +D /usr/local/ 同上,但是会搜索目录下的目录,时间较长
    lsof -d 4 显示使用fd为4的进程
    lsof -i 用以显示符合条件的进程情况
    lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
      46 --> IPv4 or IPv6
      protocol --> TCP or UDP
      hostname --> Internet host name
      hostaddr --> IPv4地址
      service --> /etc/service中的 service name (可以不止一个)
      port --> 端口号 (可以不止一个)

    实例

    lsof `which httpd` //那个进程在使用apache的可执行文件
    lsof /etc/passwd //那个进程在占用/etc/passwd
    lsof /dev/hda6 //那个进程在占用hda6
    lsof /dev/cdrom //那个进程在占用光驱
    lsof -c sendmail //查看sendmail进程的文件使用情况
    lsof -c courier -u ^zahn //显示出那些文件被以courier打头的进程打开,但是并不属于用户zahn
    lsof -p 30297 //显示那些文件被pid为30297的进程打开
    lsof -D /tmp 显示所有在/tmp文件夹中打开的instance和文件的进程。但是symbol文件并不在列
    
    lsof -u1000 //查看uid是100的用户的进程的文件使用情况
    lsof -utony //查看用户tony的进程的文件使用情况
    lsof -u^tony //查看不是用户tony的进程的文件使用情况(^是取反的意思)
    lsof -i //显示所有打开的端口
    lsof -i:80 //显示所有打开80端口的进程
    lsof -i -U //显示所有打开的端口和UNIX domain文件
    lsof -i UDP@[url]www.akadia.com:123 //显示那些进程打开了到www.akadia.com的UDP的123(ntp)端口的链接
    lsof -i tcp@ohaha.ks.edu.tw:ftp -r //不断查看目前ftp连接的情况(-r,lsof会永远不断的执行,直到收到中断信号,+r,lsof会一直执行,直到没有档案被显示,缺省是15s刷新)
    lsof -i tcp@ohaha.ks.edu.tw:ftp -n //lsof -n 不将IP转换为hostname,缺省是不加上-n参数

    1)列出某个进程打开的所有文件

    lsof -p 1149

    2)列出某个用户打开的文件

    lsof -u root

    3)列出所有不是某个用户打开的文件,也就是取反,在用户名前添加^符号

    lsof -u ^root

    4)列出某个文件被哪些进程打开使用

    lsof /dev/null

    5)列出访问某个目录的所有进程

    lsof +d /dev/

    6)递归列出访问某个目录下所有进程

    lsof +D /var/

    7)列出某个进程名使用的文件信息

    lsof -c dhcpd

    3、lsof查看网络信息

    lsof也可以查看网络信息,如查看某个端口的使用情况

    1)列出所有的网络链接信息

    lsof -i

    2)只列出某个协议类型的网络链接信息

    lsof -i TCP

    3)查看某个端口的网络链接状态

    lsof -i :67

    4)查看链接到某个主机的网络状态

    lsof -i @192.168.146.1

    5)查看连接到某个主机的特定端口的网络状态

    lsof -i @192.168.146.1:80

    6)列出当前主机监听的端口

    lsof -i -s TCP:LISTEN

    -s P:S参数跟着两个字段,协议和状态,中间用冒号隔开,如上表示TCP协议的监听状态,也可以查看处于连接的TCP网络状态:

    lsof -i -s TCP:ESTABLISHED

    4、通过lsof恢复删除的文件

    通过lsof恢复已删除的文件,前提条件的是这个文件有程序正在使用,可以通过lsof /path/to/filename能查看到正在使用此文件的程序,下面我们以日志文件message为例实验下:

    1)查看使用文件的实用程序

    lsof /var/log/messages
    COMMAND    PID USER   FD   TYPE DEVICE SIZE/OFF    NODE NAME
    abrt-watc  671 root    4r   REG    8,2   516027 1311595 /var/log/messages
    rsyslogd  1148 root    6w   REG    8,2   516027 1311595 /var/log/messages

    2)删除message文件

    rm -rf /var/log/messages

    3)通过上面查看的进程ID我们在/proc目录下找到该进程的文件目录,然后通过FD,找到FD目录的文件编号,然后对文件进行恢复

    如:上面PID为1148那我们先找到/proc目录下进程为1148的目录,然后cd到FD目录下,上面FD显示文件使用6w打开,表示在6文件中以锁的方式打开

    cd /proc/1148/fd

    查看下6文件中的文件内容,是不是和之前删除的文件一样呢:

    tail -n 10 6

    下面开始通过命令恢复:

    cat /proc//1148/fd/6 >/var/log/messages
  • 相关阅读:
    多线程:C#.NET中使用BackgroundWorker在模态对话框中显示进度条
    通过外接程序将Outlook邮件导出成Word文档
    [轉]FusionChartsFree参数说明
    MSIL学习资源
    FastCGI Error 2147467259 (0x80004005)
    编程实现双击某个文件用指定程序打开
    Excel api Enumerations 常量
    [轉]全面认识页面设置之PageSetup 对象
    AjaxFileUploaderV2.1增加可上传多个文件
    [轉]VB.NET and C# Comparison
  • 原文地址:https://www.cnblogs.com/hushaojie/p/13672152.html
Copyright © 2020-2023  润新知