文章目录

一、简介

二、lsof语法

2.1 基本格式

2.2 选项

2.3 输出字段解释

三、常用 lsof 操作

3.1 查看某文件的相关进程

3.2 网络相关：-i

3.3 指定进程号打开的文件：-p

3.4 指定用户打开的文件：-u

3.5 某进程打开的文件：-c

3.6 复合查询

四、进阶用法

4.1用文本处理命令（grep\awk\sed）结合使用

4.2 更多实用选项

一、简介

lsof（list open files）是一个列出当前系统打开文件的工具。

它主要用来获取被进程打开文件的信息。

在 Linux 中，一切皆文件，lsof 命令可以查看所有已经打开了的文件，比如：普通文件，目录，特殊的块文件，管道，socket 套接字，设备，Unix 域套接字等等。同时，它还可以结合 grep 以及 ps 命令进行更多的高级搜索

打开的文件：

在Linux中，一切都是文件，当进程打开现有文件或创建新文件时，内核向进程返回一个文件描述符，文件描述符就是内核为了高效管理已被打开的文件所创建的索引，用来指向被打开的文件，所有执行 I/O 操作的系统调用都会通过文件描述符。因此，打开的文件指的是进程打开并使用的文件。

二、lsof语法

2.1 基本格式

lsof [OPTIONS] [--] [NAMES]

在没有任何选项的情况下，lsof 列出所有属于活动进程的打开文件（一般会很多、很多、很多）。

2.2 选项

lsof 命令有很多选项，下面是一些常用的选项（完整的字节看手册）：

-a：表示 AND，用于指定多个条件。

-c <command>：列出指定命令所打开的文件。

-d <fd>：列出指定文件描述符所打开的文件。

-g <gid>：列出指定组 ID 所属的进程所打开的文件。

-i：列出所有打开了网络套接字（TCP 和 UDP）的进程。

-n：禁止解析 IP 地址和端口号。

-p <pid>：列出指定进程 ID 所打开的文件。

-u <username>：列出指定用户所属的进程所打开的文件。

2.3 输出字段解释

使用lsof命令后输出一般有9个字段（9列）：

COMMAND：进程的名称
PID：进程标识符
USER：进程所有者
FD：文件描述符。主要有：
  cwd：应用程序当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改
  txt：该类型的文件是程序代码，如应用程序二进制文件本身或共享库，如上列表中显示的 /sbin/init 程序
  lnn：库引用（AIX）
  err：FD 信息错误
  jld：监狱目录（FreeBSD）
  ltx：共享库文本（代码和数据）
  mxx：十六进制内存映射类型号 xx
  m86：DOS合并映射文件
  mem：内存映射文件
  mmap：内存映射设备
  pd：父目录
  rtd：根目录
  tr：内核跟踪文件（OpenBSD）
  v86：VP/ix 映射文件
  0：标准输出
  1：标准输入
  2：标准错误
  文件描述符后一般还跟着文件状态模式：
  r：只读模式
  w：写入模式
  u：读写模式
  空格：文件的状态模式为 unknow，且没有锁定
  -：文件的状态模式为 unknow，且被锁定
  同时在文件状态模式后面，还跟着相关的锁：
  N：对于未知类型的 Solaris NFS 锁
  r：文件部分的读锁
  R：整个文件的读锁
  w：文件的部分写锁
  W：整个文件的写锁
  u：任何长度的读写锁
  U：用于未知类型的锁
  x：用于部分文件上的 SCO OpenServer Xenix 锁
  X：用于整个文件上的 SCO OpenServer Xenix 锁
  space：无锁
TYPE：文件类型。常见的文件类型有：
  REG：普通文件
  DIR：表示目录
  CHR：表示字符类型
  BLK：块设备类型
  UNIX：UNIX 域套接字
  FIFO：先进先出队列
  IPv4（6）：IPv4（6） 套接字
DEVICE：磁盘名称
SIZE：文件的大小或文件偏移量（以字节为单位）
NODE：索引节点
NAME：打开文件的确切名称

例如：

root@CQUPTLEI:~# lsof -i udp
COMMAND       PID            USER   FD   TYPE   DEVICE SIZE/OFF NODE NAME
systemd         1            root   37u  IPv4     1001      0t0  UDP *:sunrpc 
systemd         1            root   39u  IPv6     1007      0t0  UDP *:sunrpc 
rpcbind       696            _rpc    5u  IPv4     1001      0t0  UDP *:sunrpc 
rpcbind       696            _rpc    7u  IPv6     1007      0t0  UDP *:sunrpc 
systemd-n     801 systemd-network   19u  IPv4    22416      0t0  UDP CQUPTLEI:bootpc 
systemd-r     803 systemd-resolve   12u  IPv4    21343      0t0  UDP localhost:domain 
avahi-dae     820           avahi   12u  IPv4    24274      0t0  UDP *:mdns 
avahi-dae     820           avahi   13u  IPv6    24275      0t0  UDP *:mdns

三、常用 lsof 操作

3.1 查看某文件的相关进程

root@CQUPTLEI:~# lsof /bin/bash
COMMAND       PID USER  FD   TYPE DEVICE SIZE/OFF   NODE NAME
mysqld_sa    1188 root txt    REG  252,2  1183448 132810 /usr/bin/bash
sh           3495 root txt    REG  252,2  1183448 132810 /usr/bin/bash
bash      1520268 root txt    REG  252,2  1183448 132810 /usr/bin/bash
bash      1520271 root txt    REG  252,2  1183448 132810 /usr/bin/bash
bash      1666912 root txt    REG  252,2  1183448 132810 /usr/bin/bash

3.2 网络相关：-i

-i 选项用于列出所有打开了网络套接字（TCP 和 UDP）的进程。

常用的用法：

-i：列出所有打开了网络套接字（TCP 和 UDP）的进程。

-i tcp：列出所有打开了 TCP 网络连接的进程。

-i :<port>：列出某个端口被哪些进程打开了。

-i @<ip_address>：列出某个 IP 地址被哪些进程打开了。

-u <username> -i：列出某个用户打开了哪些网络连接。

例：

root@CQUPTLEI:~# lsof -i :443
COMMAND PID USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
nginx   978 root   10u  IPv4  26143      0t0  TCP *:https (LISTEN)
nginx   983  www   10u  IPv4  26143      0t0  TCP *:https (LISTEN)
nginx   984  www   10u  IPv4  26143      0t0  TCP *:https (LISTEN)

3.3 指定进程号打开的文件：-p

-p 选项用于列出指定进程 ID 所打开的文件。

root@CQUPTLEI:~# lsof -p 1
COMMAND PID USER   FD      TYPE             DEVICE SIZE/OFF       NODE NAME
systemd   1 root  cwd       DIR              252,2     4096          2 /
systemd   1 root  rtd       DIR              252,2     4096          2 /
systemd   1 root  txt       REG              252,2  1620224     136385 /usr/lib/systemd/systemd
systemd   1 root  mem       REG              252,2  1369384     134892 /usr/lib/x86_64-linux-gnu/libm-2.31.so
systemd   1 root  mem       REG              252,2   178528     136839 /usr/lib/x86_64-linux-gnu/libudev.so.1.6.17
systemd   1 root  mem       REG              252,2  1575112     138611 /usr/lib/x86_64-linux-gnu/libunistring.so.2.1.0

3.4 指定用户打开的文件：-u

-u 选项用于列出指定用户所属的进程所打开的文件。

root@CQUPTLEI:~# ls /home
lighthouse  ubuntu  www
root@CQUPTLEI:~# lsof -u www
lsof: WARNING: can't stat() fuse.gvfsd-fuse file system /run/user/134/gvfs
      Output information may be incomplete.
COMMAND     PID USER   FD      TYPE             DEVICE  SIZE/OFF   NODE NAME
nginx       983  www  cwd       DIR              252,2      4096      2 /
nginx       983  www  rtd       DIR              252,2      4096      2 /
nginx       983  www  txt       REG              252,2   5060432 912450 /www/server/nginx/sbin/nginx
nginx       983  www  mem       REG              252,2    239896 131210 /usr/lib/x86_64-linux-gnu/libnss_systemd.so.2
nginx       983  www  DEL       REG                0,1            26134 /dev/zero
nginx       983  www  DEL       REG                0,1            26133 /dev/zero
nginx       983  www  DEL       REG                0,1            26132 /dev/zero
nginx       983  www  DEL       REG                0,1            26131 /dev/zero

3.5 某进程打开的文件：-c

-c 选项用于列出指定命令所打开的文件，不需要进程的完整名称，可以使用进程名的一部分。

root@CQUPTLEI:~# lsof -c alist
COMMAND PID USER   FD      TYPE             DEVICE SIZE/OFF    NODE NAME
alist   941 root  cwd       DIR              252,2     4096 1041395 /opt/alist
alist   941 root  rtd       DIR              252,2     4096       2 /
alist   941 root  txt       REG              252,2 43084616 1041396 /opt/alist/alist
alist   941 root  mem-r     REG              252,2    32768 1041407 /opt/alist/data/data.db-shm
alist   941 root    0r      CHR                1,3      0t0       6 /dev/null
alist   941 root    1u     unix 0xffffa05a31b67000      0t0   26720 type=STREAM
alist   941 root    2u     unix 0xffffa05a31b67000      0t0   26720 type=STREAM

3.6 复合查询

（1）同时满足多个条件：-a

用户www打开的tcp 443端口，逻辑与（and）

root@CQUPTLEI:~# lsof -a -u   www -i tcp:443
COMMAND PID USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
nginx   983  www   10u  IPv4  26143      0t0  TCP *:https (LISTEN)
nginx   984  www   10u  IPv4  26143      0t0  TCP *:https (LISTEN)

（2）满足每个条件

不使用-a时，多个选项之间的关系是或（or）

root@CQUPTLEI:~# lsof -c ssh -c alist

四、进阶用法

4.1用文本处理命令（grep\awk\sed）结合使用

例：与grep命令结合使用

打印服务器所有tcp连接中，文件描述符为10的连接：

root@CQUPTLEI:~# lsof -i tcp | grep "10u"
alist         941            root   10u  IPv6    31063      0t0  TCP *:5244 (LISTEN)
nginx         978            root   10u  IPv4    26143      0t0  TCP *:https (LISTEN)
nginx         983             www   10u  IPv4    26143      0t0  TCP *:https (LISTEN)
nginx         984             www   10u  IPv4    26143      0t0  TCP *:https (LISTEN)
BT-Panel     2638            root   10u  IPv4 23149843      0t0  TCP CQUPTLEI:8888->internettl.org:52156 (ESTABLISHED)

|为管道符，表示将左边的输出作为右边的输入

例：与awk命令结合使用

对Linux的dns服务器（named）打开的tcp连接，按照描述符升序打印

lsof -i tcp -n| awk '/named/{print $1,$2,$3,$4,$5,$6,$6,$8,$9}' | sort -n -k 4

root@CQUPTLEI:~# lsof -i tcp -n| awk '/named/{print $1,$2,$3,$4,$5,$6,$6,$8,$9}' | sort -n -k 4
named 945 bind 22u IPv4 29095 29095 TCP 127.0.0.1:953
named 945 bind 26u IPv4 26405 26405 TCP 127.0.0.1:domain
named 945 bind 27u IPv4 26405 26405 TCP 127.0.0.1:domain
named 945 bind 28u IPv4 26405 26405 TCP 127.0.0.1:domain
named 945 bind 32u IPv4 28479 28479 TCP 10.0.8.5:domain
named 945 bind 33u IPv4 28479 28479 TCP 10.0.8.5:domain
named 945 bind 34u IPv4 28479 28479 TCP 10.0.8.5:domain
named 945 bind 37u IPv6 26406 26406 TCP [::1]:domain
named 945 bind 38u IPv6 26406 26406 TCP [::1]:domain
named 945 bind 39u IPv6 26406 26406 TCP [::1]:domain
named 945 bind 42u IPv6 28513 28513 TCP [fe80::5054:ff:fe4b:ad85]:domain
named 945 bind 43u IPv6 28513 28513 TCP [fe80::5054:ff:fe4b:ad85]:domain
named 945 bind 44u IPv6 28513 28513 TCP [fe80::5054:ff:fe4b:ad85]:domain
named 945 bind 45u IPv6 29096 29096 TCP [::1]:953
named 945 bind 48u IPv4 36766 36766 TCP 172.17.0.1:domain
named 945 bind 49u IPv4 36766 36766 TCP 172.17.0.1:domain
named 945 bind 50u IPv4 36766 36766 TCP 172.17.0.1:domain

sort -n -k 4：对结果排序，按照第四列数字升序

4.2 更多实用选项

lsof还有很多选项，比如：对文件夹递归搜索

-?, -h 
  显示帮助信息
-a
参数被视为逻辑与 AND，会影响全部的参数
-A A
  在配置了 AFS 分布式网络文件系统的系统上可用，其 AFS 内核代码是通过动态模块实现的。通过 A 指定备用名称列表文件，在该文件中可以找到动态模块的内核地址
-b
  避免 lsof 因调用可能阻塞的内核函数而产生阻塞，比如 lstat(2)、readlink(2) 和 stat(2) 等内核函数
-c C
  显示出以字符或字符串 C 开头的命令程序开启的文件，如 lsof -c init。如果 C 以斜杠 / 开头和结尾，则斜杠之间的字符被解释为正则表达式。该选项可多次指定
+c W
  指定 COMMAND 列的宽度，单位字符。默认为 9
-C
  禁用从内核的名称缓存中报告任何路径名
-D D
  指导 lsof 使用设备缓存文件。该选项的使用有时受到限制。-D 必须后面跟着一个函数字母，函数字母后面可以有一个路径名称。lsof 识别以下功能字母：
  ? 报告设备缓存文件路径
  b 构建设备缓存文件
  i 忽略设备缓存文件
  r 读取设备缓存文件
  u 读取并更新设备缓存文件
+D D
  递归搜索目录 D。如显示在 /usr/local 及其子目录下被程序开启的文件：lsof +D /usr/local
+d D
   非递归搜索目录 D。如显示在 /usr/local 下被程序开启的文件：lsof +d /usr/local
-d FD
  指定文件描述符列表，可以采用逗号分隔，也可以指定范围。比如 1,2,3 或 1-3。如果前面包含尖号，表示排除。如显示 FD 为 4 的进程：lsof -d 4
+|-e S
  豁免（exempt）路径名称为 S 的文件系统不受可能阻塞的内核函数调用的影响。+e 选项豁免 stat(2)、lstat(2) 和大多数 readlink(2) 内核函数调用。-e 选项只能豁免 stat(2) 和 lstat(2) 内核函数调用
+|-E
  +E 指定使用端点信息显示 Linux 管道、Linux UNIX 套接字和 Linux 伪终端文件，并显示端点的文件。-E 则不显示端点的文件
-F LIST
  指定字符列表 LIST，选择输出给另一程序处理的字段，各字段对应的字符见下文
+|-f [cfgGn]
  f 本身澄清了路径名参数的解释方式。当后面跟着 c、f、g、G 或 n 时，它指定要启用（+）或抑制（-）内核文件结构信息。
  c 文件结构使用计数（not Linux）
  f 文件结构地址（not Linux）
  g 文件标志缩写（Linux 2.6.22 及更高版本）
  G 十六进制文件标志（Linux 2.6.22 及更高版本）
  n 文件结构节点地址（not Linux）
-g [PGID]
  选择或排除属于指定进程组的进程打开的文件。 进程组 ID 使用逗号分隔，如果 PGID 前面包含尖号，表示排除。若没有指定 PGID，则显示全部。如显示 PGID 为 6 和 7 的进程：lsof -g6,7
-i [I]
  选择其 Internet 地址与 -i 中指定的地址匹配的文件，若没有相关地址被指定，则监听全部。
  用法： lsof -i [46][protocol][@hostname|hostaddr][:serivce|port]
  说明：4 6 分别表示 IPv4 和 IPv6   
    protocol： TCP or UDP   
    hostname：主机名
    hostaddr：IPv4 或 IPv6 地址
    service：主机提供的服务的名称，即 /etc/services 中的 service name
    port：端口号
-K
  在支持任务（线程）报告方式的系统上输出进程的任务（线程）列表
-k K
  指定内核名称列表文件，代替 /vmunix、/mach 等
-l
  禁止将 user ID 转换为登录的名称，默认是登录名称
+|-L [L]
  + 或 - 表示开启或关闭显示文件连接数，如果只有单纯的 +L，后面没有任何数字，则表示显示全部，如果后面有数字，只有文件连接数少于该数字的会被列出
+|-m M
  -m 指定一个内核内存文件 M ，代替 /dev/kmem 或 /dev/mem。+m 将装载补充文件写入标准输出文件
+|-M
  启用或禁用报告本地 TCP、UDP 和 UDPLITE 端口的端口映射器注册
-n
  不将 IP 地址转换为主机名
-N
  显示 NFS 文件
-o
  始终显示文件偏移量。它导致 SIZE/OFF 输出列标题更改为 OFFSET
-o O
  指定在文件偏移量的 0t 之后要打印的小数位数
-O
  指示 lsof 避免被某些内核操作阻塞。即在分叉的子进程中执行它们。虽然使用此选项将减少 lsof 启动开销，但也可能导致 lsof 在内核不响应函数时挂起。谨慎使用此选项
-P
  禁止将网络文件的端口号转换为端口名
-p S
  排除或选择进程的文件列表，进程 ID 列表使用逗号分隔，如 123 或 123,^456。尖号表示排除指定 PID
-R
  使用列 PPID 列出父进程的 PID
+|-r [T[mFMT]]
  控制 lsof 不断重复执行，间隔 T 秒，默认为 15s。-r 永远不断地执行，直到收到中断讯号（ctrl+ c），+r 一直执行，直到没有文件被显示。可选的 mFMT 参数指定标记线的格式，格式 FMT 遵循 C 语言标准库函数 strftime(3) 的规范
-S [T]
  指定内核函数 lstat(2)、readlink(2) 和 stat(2) 的可选超时秒值，否则可能会死锁。t 的最小值是 2；默认值是 15
-s [P:S]
  列出文件的大小，若该文件没有大小，则留下空白。它导致 SIZE/OFF 输出列标题更改为 SIZE。P 表示协议名称 TCP  or  UDP，S 表示逗号分隔的协议状态
-T [T]
  -T 没有参数则禁用 TCP/TPI 信息报告。跟如下参数，则显示指定 TCP/TPI 信息：
  f 选择报告套接字选项，状态和值，以及 TCP标志和值
  q 选择队列长度
  s 选择连接状态
  w 选择窗口大小
-t
  生成只有进程标识符而没有标题的简洁输出，这样输出可以通过管道传递给 kill(1) 杀死
-U
  选择 UNIX 域套接字文件的列表
-u USERS
  选择登录名或用户 ID 位于逗号分隔集 USERS 中的用户的文件列表。如 root 或 548,root”，如果用户名或用户 ID 前有尖号 ^，表示排除
-V
  指示被要求列出但找不到的项
-v
    显示版本信息
+|-w
     启用（＋）或禁用（－）警告消息
-X
  Linux 下跳过所有打开的 TCP、UDP 和 UDPLITE IPv4 和 IPv6 文件的信息报告
-x [fl]
  一般与选项 +d 和 +D 选项，指示搜索时是否跨文件系统和符号链接。-x 不跟任何参数时，表示跨文件系统和符号链接
-Z [Z]
  指定如何处理 SELinux 安全上下文。当在运行的 Linux 内核中禁用SELinux时，Z 字段将被抑制输出。-Z 选项不跟参数，如 -Z -，安全上下文将列在 SECURITY-CONTEXT 列中输出
--
  双减号表示选项结束
NAMES
  列出指定文件，符号链接在使用前将被解析

【Linux进阶命令 04】lsof (看看是谁动了我的文件？)

一、简介

二、lsof语法

2.1 基本格式

2.2 选项

2.3 输出字段解释

三、常用 lsof 操作

3.1 查看某文件的相关进程

3.2 网络相关：-i

3.3 指定进程号打开的文件：-p

3.4 指定用户打开的文件：-u

3.5 某进程打开的文件：-c

3.6 复合查询

四、进阶用法

4.1用文本处理命令（grep\awk\sed）结合使用

4.2 更多实用选项

热门文章

最新文章

相关课程

相关电子书

相关实验场景

推荐镜像

热门

活动广场

任务中心

开发者评测

高校计划

乘风者计划

训练营

阿里云MVP

话题

直播

下载

镜像站

技术资料

插件

【Linux进阶命令 04】lsof (看看是谁动了我的文件？)

一、简介

二、lsof语法

2.1 基本格式

2.2 选项

2.3 输出字段解释

三、常用 lsof 操作

3.1 查看某文件的相关进程

3.2 网络相关：-i

3.3 指定进程号打开的文件：-p

3.4 指定用户打开的文件：-u

3.5 某进程打开的文件：-c

3.6 复合查询

四、进阶用法

4.1用文本处理命令（grep\awk\sed）结合使用

4.2 更多实用选项

热门文章

最新文章

相关课程

相关电子书

相关实验场景

推荐镜像