lsof

Unix調試的瑞士軍刀：lsof

標籤： 分類？沒有 | 發表時間：2011-06-20 01:37 | 做者：yuanyi Ran

分享到：

出處：http://heikezhi.com

這是「你應該知道的Unix和Linux命令」系列的第三篇，在這篇文章中，我會介紹lsof這個工具，若是說netcat是進行網絡診斷的瑞士軍刀，那麼lsof就是Unix調試的瑞士軍刀。

Lsof是聽從Unix哲學的典範，它只作一件事情，而且作的至關完美——它能夠列出某個進程打開的全部文件信息。打開的文件多是普通的文件，目 錄，NFS文件，塊文件，字符文件，共享庫，常規管道，明明管道，符號連接，Socket流，網絡Socket，UNIX域Socket，以及其它更多。 由於Unix系統中幾乎全部東西都是文件，你能夠想象lsof該有多有用。

你能夠看看這系列文章第一篇對pipe viewer的介紹，若是你對這篇文章感興趣，那你應該訂閱個人RSS Feed(譯者注：也別忘了訂閱黑客志 :)。

如何使用lsof？

這篇文章中我會盡力列舉我能想到的全部lsof的用法，讓咱們先從最簡單的開始（或許你已經知道了），而後逐漸增長複雜度：

列出全部打開的文件

# lsof

不帶任何參數運行lsof會列出全部進程打開的全部文件。

找出誰在使用某個文件

# lsof /path/to/file

只須要執行文件的路徑，lsof就會列出全部使用這個文件的進程，你也能夠列出多個文件，lsof會列出全部使用這些文件的進程。

你也能夠一次制定多個文件：

# lsof /path/to/file1 /path/to/file2

遞歸查找某個目錄中全部打開的文件

# lsof +D /usr/lib

加上+D參數，lsof會對指定目錄進行遞歸查找，注意這個參數要比grep版本慢：

# lsof | grep ‘/usr/lib’

之因此慢是由於+D首先查找全部的文件，而後一次性輸出。

列出某個用戶打開的全部文件

# lsof -u pkrumins

-u選項限定只列出全部被用戶pkrumins打開的文件，你能夠經過逗號指定多個用戶：

# lsof -u rms,root

這條命令會列出全部rms和root用戶打開的文件。

你也能夠像下面這樣使用多個-u作一樣的事情：

# lsof -u rms -u root

查找某個程序打開的全部文件

# lsof -c apache

-c選項限定只列出以apache開頭的進程打開的文件：

因此你能夠不用像下面這樣寫：

# lsof | grep foo

而使用下面這個更簡短的版本：

# lsof -c foo

事實上，你能夠只制定進程名稱的開頭：

# lsof -c apa

這會列出全部以apa開頭的進程打開的文件

你一樣能夠制定多個-c參數：

# lsof -c apache -c python

這會列出全部由apache和python打開的文件

列出全部由某個用戶或某個進程打開的文件

# lsof -u pkrumins -c apache

你也能夠組合使用多個選項，這些選項默認進行或關聯，也就是說上面的命令會輸入由pkrumins用戶或是apache進程打開的文件。

列出全部由一個用戶與某個進程打開的文件

# lsof -a -u pkrumins -c bash

-a參數能夠將多個選項的組合條件由或變爲與，上面的命令會顯示全部由pkrumins用戶以及bash進程打開的文件。

列出除root用戶外的全部用戶打開的文件

# lsof -u ^root

注意root前面的^符號，它執行取反操做，所以lsof會列出全部root用戶以外的用戶打開的文件。

列出全部由某個PID對應的進程打開的文件

# lsof -p 1

-p選項讓你可使用進程id來過濾輸出。

記住你也能夠用都好來分離多個pid。

# lsof -p 450,980,333

列出全部進程打開的文件除了某個pid的

# lsof -p ^1

同前面的用戶同樣，你也能夠對-p選項使用^來進行取反。

列出全部網絡鏈接

# lsof -i

lsof的-i選項能夠列出全部打開了網絡套接字（TCP和UDP）的進程。

列出全部TCP網絡鏈接

# lsof -i tcp

也能夠爲-i選項加上參數，好比tcp，tcp選項會強制lsof只列出打開TCP sockets的進程。

列出全部UDP網絡鏈接

# lsof -i udp

一樣udp讓lsof只列出使用UDP socket的進程。

找到使用某個端口的進程

# lsof -i :25

:25和-i選項組合可讓lsof列出佔用TCP或UDP的25端口的進程。

你也可使用/etc/services中制定的端口名稱來代替端口號，好比：

# lsof -i :smtp

找到使用某個udp端口號的進程

# lsof -i udp:53

一樣的，也能夠找到使用某個tcp端口的進程：

# lsof -i tcp:80

找到某個用戶的全部網絡鏈接

# lsof -a -u hacker -i

使用-a將-u和-i選項組合可讓lsof列出某個用戶的全部網絡行爲。

列出全部NFS（網絡文件系統）文件

# lsof -N

這個參數很好記，-N就對應NFS。

列出全部UNIX域Socket文件

# lsof -U

這個選項也很好記，-U就對應UNIX。

列出全部對應某個組id的進程

# lsof -g 1234

進程組用來來邏輯上對進程進行分組，這個例子查找全部PGID爲1234的進程打開的文件。

列出全部與某個描述符關聯的文件

# lsof -d 2

這個命令會列出全部以描述符2打開的文件。

你也能夠爲描述符指定一個範圍：

# lsof -d 0-2

這會列出全部描述符爲0，1，2的文件。

-d選項還支持其它不少特殊值，下面的命令列出全部內存映射文件：

# lsof -d mem

txt則列出全部加載在內存中並正在執行的進程：

# lsof -d txt

輸出使用某些資源的進程pid

# lsof -t -i

-t選項輸出進程的PID，你能夠將它和-i選項組合輸出使用某個端口的進程的PID，下面的命令將會殺掉全部使用網絡的進程：

# kill -9 `lsof -t -i`

循環列出文件

# lsof -r 1

-r選項讓lsof能夠循環列出文件直到被中斷，參數1的意思是每秒鐘重複打印一次，這個選項最好同某個範圍比較小的查詢組合使用，好比用來監測網絡活動：

# lsof -r 1 -u john -i -a

如何安裝lsof？

許多Unix系統都內置了lsof，若是你的系統沒有安裝，你能夠從這裏直接下載源代碼。

BSD系統有一個相似的工具能夠作一樣的事情，叫作fstat。

你能夠經過man lsof來了解關於lsof的完整文檔，或者經過lsof -h查看。

開始體驗lsof的樂趣吧！

————
本文翻譯自「A Unix Utility You Should Know About: lsof」，做者：Peteris Krumins，照片：Hallvard E

想和咱們一道傳播黑客精神？快來加入吧！