lsof命令詳解

lsof (list open files)是一個列出當前系統打開文件的工具。在linux系統環境下，任何事物均可以以文件形式存在，經過文件不只能夠訪問常規的數據，還能夠訪問網絡鏈接和硬件。

適應條件：lsof訪問的是核心文件和各類文件，因此必須以root用戶的身份運行才能充分發揮其功能。

lsof [選項] [絕對路徑的文件名]
顯示示例

[root@localhost ~]# lsof /usr/sbin/httpd
COMMAND  PID   USER  FD   TYPE DEVICE SIZE/OFF   NODE NAME
httpd   6279   root txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6281 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6282 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6283 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6284 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6285 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6286 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6287 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6288 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd
httpd   6546 apache txt    REG    8,2   344112 415135 /usr/sbin/httpd

每行顯示一個打開的文件，默認若是後面不跟任何東西，將打開系統打開的全部文件
COMMAND ：進程名稱
PID：進程標識符
USER:進程全部者
FD:文件描述符，應用程序經過文件描述符識別到該文件。如cwd、txt等
TYPE：文件類型，如DIR,REG
DEVICE:指定磁盤名稱
SIZE:文件大小
NODE:索引節點（文件在磁盤上的標識）
NAME:打開文件的確切名稱

補充：FD列中的文件描述cwd值表示應用程序的當前工做目錄，這是該程序啓動的目錄，除非它自己對這個目錄進行更改。txt類型的是程序代碼，如應用程序二進制文件自己或者共享庫。其

次數值表示應用程序的文件描述符，這是打開文件時一個返回的一個整數。

lsof      6660      root    0u      CHR      136,0      0t0          3 /dev/pts/0
lsof      6660      root    1u      CHR      136,0      0t0          3 /dev/pts/0
lsof      6660      root    2u      CHR      136,0      0t0          3 /dev/pts/0
lsof      6660      root    3r      DIR        0,3        0          1 /proc
lsof      6660      root    4r      DIR        0,3        0      36358 /proc/6660/fd
lsof      6660      root    5w     FIFO        0,8      0t0      36363 pipe
lsof      6660      root    6r     FIFO        0,8      0t0      36364 pipe
lsof      6661      root  cwd       DIR        8,2     4096     130562 /root
lsof      6661      root  rtd       DIR        8,2     4096          2 /
lsof      6661      root  txt       REG        8,2   154356     415242 /usr/sbin/lsof
lsof      6661      root  mem       REG        8,2  1907156     914957 /lib/libc-2.12.so
lsof      6661      root  mem       REG        8,2    17892     914963 /lib/libdl-2.12.so
lsof      6661      root  mem       REG        8,2   141080     914950 /lib/ld-2.12.so
lsof      6661      root  mem       REG        8,2   120780     915040 /lib/libselinux.so.1
lsof      6661      root  mem       REG        8,2 99154448     395123 /usr/lib/locale/locale-archive
lsof      6661      root    4r     FIFO        0,8      0t0      36363 pipe
lsof      6661      root    7w     FIFO        0,8      0t0      36364 pipe

其中u表示該文件被打開處於讀取\寫入模式，而不是隻讀或只寫模式；
    r 只讀 ； w 只寫 ；W表示該應用程序具備對整個文件的寫鎖（確保每次只能打開一次應用程序實例）
初始打開每一個應用程序時，都具備三個文件描述符，從0到2，分別表示標準輸入、輸出和錯誤流。所以，大多數應用程序
所打開的FD都是從3開始

TYPE：REG、DIR、CHR、BLK、UNIX、FIFO、IPV4

（2）
查看端口如今運行的狀況
ls -i:port  #某個端口
ls -i:port1-port2 #
ls -i:1-1024      #查看端口1-1024運行狀況

（3）恢復刪除文件
當系統中的某個文件被意外刪除了，只要這個時候系統中有進程正在訪問這個文件，那麼能夠經過lsof 從/proc目錄下恢復文件的內容
假如/var/log/messages文件被刪了，恢復這個文件的方法：
首先使用lsof 查看當前是否有進程打開/var/log/messages文件，
#lsof |grep /var/log/messages
[root@localhost ~]# rm /var/log/messages
rm：是否刪除普通文件 "/var/log/messages"？y
[root@localhost ~]# lsof |grep /var/log/messages
rsyslogd  5925      root    1w      REG        8,2     4369     266184 /var/log/messages (deleted)

從上面的信息能夠看到PID 5925（syslogd)打開文件的文件描述符爲1，同時發現/var/log/messages已經被刪除了。
所以能夠經過/var/log/messages文件描述符來查看文件信息。

cat /pro/5925/fd/1
[root@localhost ~]# cat /proc/5925/fd/1
May 12 08:04:11 localhost kernel: hpet1: lost 3 rtc interrupts
May 12 08:04:11 localhost kernel: hpet1: lost 6 rtc interrupts
May 12 08:04:11 localhost kernel: hpet1: lost 1 rtc interrupts
May 12 09:25:33 localhost kernel: usb 2-2.1: USB disconnect, device number 10
May 12 09:25:33 localhost kernel: eth0: link down
May 12 09:25:33 localhost kernel: usb 2-2.1: new full speed USB device number 11 using uhci_hcd
May 12 09:25:33 localhost kernel: usb 2-2.1: New USB device found, idVendor=0e0f, idProduct=0008
May 12 09:25:33 localhost kernel: usb 2-2.1: New USB device strings: Mfr=1, Product=2, SerialNumber=3
May 12 09:25:33 localhost kernel: usb 2-2.1: Product: Virtual Bluetooth Adapter
May 12 09:25:33 localhost kernel: usb 2-2.1: Manufacturer: VMware
May 12 09:25:33 localhost kernel: usb 2-2.1: SerialNumber: 000650268328
May 12 09:25:33 localhost kernel: usb 2-2.1: configuration #1 chosen from 1 choice

最後經過重定向的方法恢復被刪除的/var/log/messages
cat /pro/5925/fd/1 >/var/log/messages

 

參考資料：http://baike.baidu.com/link?url=FsHZ0-as3vhzPOgTrHO8QyAmLQDPseHje2sYa0M-eZx-fiJe0vNjc4fi4d0fnc59MmooMh28Hmq2oEhnj4Vska