losf 命令可以列出某个进程打开的所有文件信息。打开的文件可能是普通的文件，目录，NFS文件，块文件，字符文件，共享库，常规管道，明明管道，符号链接，Socket流，网络Socket，UNIX域Socket，以及其它更多。
1 列出系统上所有打开的文件：
[root@rac1 mysql]# lsof | more
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
init 1 root cwd DIR 8,3 4096 2 /
init 1 root rtd DIR 8,3 4096 2 /
init 1 root txt REG 8,3 43496 17727785 /sbin/init
2 查看谁在使用指定的文件
[root@rac1 ~]# lsof /tmp/mysql.sock
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
mysqld 24319 mysql 16u unix 0xffff8100918a8c00 44743909 /tmp/mysql.sock
3 递归查看指定目录下所有打开的文件
[root@rac1 ~]# lsof +D /opt/mysql/
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
mysqld 24319 mysql cwd DIR 8,3 4096 19824642 /opt/mysql/data
mysqld 24319 mysql 3u REG 8,3 152 19824646 /opt/mysql/data/mysql-log-bin.index
mysqld 24319 mysql 4uW REG 8,3 4875878400 20283611 /opt/mysql/data/ibdata1
mysqld 24319 mysql 9uW REG 8,3 5242880 20283612 /opt/mysql/data/ib_logfile0
mysqld 24319 mysql 10uW REG 8,3 5242880 20283613 /opt/mysql/data/ib_logfile1
mysqld 24319 mysql 12w REG 8,3 12957 19824652 /opt/mysql/data/slow_query.log
4 查看指定用户打开的所有文件
[root@rac1 ~]# lsof -u oracle
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
nmz 3211 oracle cwd DIR 8,3 4096 10813466 /home/oracle
nmz 3211 oracle rtd DIR 8,3 4096 2 /
nmz 3211 oracle txt REG 8,3 673908 19398913 /opt/rac/oracle/11.2.0/rac/ccr/bin/nmz
nmz 3211 oracle mem REG 8,3 125736 2820762 /lib/ld-2.5.so
nmz 3211 oracle mem REG 8,3 1606808 2818065 /lib/libc-2.5.so
nmz 3211 oracle 3uW REG 8,3 0 19398727 /opt/rac/oracle/11.2.0/rac/ccr/hosts/rac1/log/sched.lock
nmz 3211 oracle 4w REG 8,3 853 19398726 /opt/rac/oracle/11.2.0/rac/ccr/hosts/rac1/log/sched.log
nmz 3211 oracle 5r REG 8,3 16896 20906832 /opt/rac/oracle/11.2.0/rac/ccr/mesg/nmzus.msb
注意:^符号，它执行取反操作 lsof -u ^oracle 表示除oracle 之外的用户打开的文件
5 查看某个程序打开的所有文件
-c选项限定只列出以apache开头的进程打开的文件：
root@rac1 shell]# lsof -c mysql
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
mysqld 24319 mysql cwd DIR 8,3 4096 19824642 /opt/mysql/data
mysqld 24319 mysql rtd DIR 8,3 4096 2 /
mysqld 24319 mysql txt REG 8,3 45648978 23429121 /usr/sbin/mysqld
mysqld 24319 mysql mem REG 8,3 139416 21201203 /lib64/ld-2.5.so
mysqld 24319 mysql mem REG 8,3 1713160 21201204 /lib64/libc-2.5.so
mysqld 24319 mysql mem REG 8,3 23360 21201206 /lib64/libdl-2.5.so
6 查看某个用户与某个程序打开的文件
lsof -u username -c 进程名 是或的关系，表示所有由某个用户或某个进程打开的文件
lsof -a -u username -c 进程名 是与的关系
7 查看所有由某个PID对应的进程打开的文件
使用 -p 参数来过滤输出
[root@rac1 ~]# lsof -p 1
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
init 1 root cwd DIR 8,3 4096 2 /
init 1 root rtd DIR 8,3 4096 2 /
init 1 root txt REG 8,3 43496 17727785 /sbin/init
init 1 root mem REG 8,3 139416 21201203 /lib64/ld-2.5.so
init 1 root mem REG 8,3 1713160 21201204 /lib64/libc-2.5.so
init 1 root mem REG 8,3 23360 21201206 /lib64/libdl-2.5.so
init 1 root mem REG 8,3 95464 21201216 /lib64/libselinux.so.1
init 1 root mem REG 8,3 247528 21201215 /lib64/libsepol.so.1
init 1 root 10u FIFO 0,17 1477 /dev/initctl
8 查看网络连接
-i 参数列出所有打开了网络套接字（TCP和UDP）的进程
a 查看tcp 连接
b 查看udp 连接
c 找到使用某个端口的进程
# lsof -i :3306
:3306和-i选项组合可以让lsof列出占用TCP或UDP的25端口的进程。
d 找到使用某个udp端口号的进程
# lsof -i udp:53
e 可以找到使用某个tcp端口的进程：
# lsof -i tcp:80
f 找到某个用户的所有网络连接
# lsof -a -u mysql -i
[root@rac1 ~]# lsof -a -u mysql -i
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
mysqld 24319 mysql 11u IPv6 48586515 TCP rac1:mysql->rac1:39045 (ESTABLISHED)
mysqld 24319 mysql 14u IPv6 44743908 TCP *:mysql (LISTEN)
9 列出所有NFS（网络文件系统）文件
# lsof -N
这个参数很好记，-N就对应NFS。
10 列出所有对应某个组id的进程
# lsof -g 1234
进程组用来来逻辑上对进程进行分组，这个例子查找所有PGID为1234的进程打开的文件。
11 列出所有与某个描述符关联的文件
# lsof -d 2 会列出所有以描述符2打开的文件。
可以为描述符指定一个范围：
# lsof -d 0-2 会列出所有描述符为0，1，2的文件。
-d选项还支持其它很多特殊值，下面的命令列出所有内存映射文件：
# lsof -d mem
txt则列出所有加载在内存中并正在执行的进程：
# lsof -d txt
12 输出使用某些资源的进程pid
# lsof -t -i
-t选项输出进程的PID，你可以将它和-i选项组合输出使用某个端口的进程的PID，下面的命令将会杀掉所有使用网络的进程：
# kill -9 `lsof -t -i`
13 循环列出文件
# lsof -r 1
-r选项让lsof可以循环列出文件直到被中断，参数1的意思是每秒钟重复打印一次，这个选项最好同某个范围比较小的查询组合使用，比如用来监测网络活动：
# lsof -r 1 -u john -i -a
