lsof安装
在centos下, 无法使用命令lsof, 出现以下信息:
# lsof -i:8080 -bash: lsof: command not found
解决方法：通过yum来安装:
yum install lsof
lsof 前言
将这个工具称之为lsof真实名副其实，因为它是指“列出打开文件（lists openfiles）”。而有一点要切记，在Unix中一切（包括网络套接口）都是文件。
lsof大多数时候用它来从系统获得与网络连接相关的信息，但那只是这个强大而又鲜为人知的应用的第一步。将这个工具称之为lsof真实名副其实，因为它是指“列出打开文件（lists openfiles）”。而有一点要切记，在Unix中一切（包括网络套接口）都是文件。
lsof 命令
有趣的是，lsof也是有着最多开关的Linux/Unix命令之一。它有那么多的开关，它有许多选项支持使用-和+前缀。
usage: [-?abhlnNoOPRstUvV] [+|-c c] [+|-d s] [+D D] [+|-f[cgG]] [-F [f]] [-g [s]] [-i [i]] [+|-L [l]] [+|-M] [-o [o]] [-p s] [+|-r [t]] [-S [t]] [-T [t]] [-u s] [+|-w] [-x [fl]] [--] [names]
正如你所见，lsof有着实在是令人惊讶的选项数量。
你可以使用它来获得你系统上设备的信息，你能通过它了解到指定的用户在指定的地点正在碰什么东西，或者甚至是一个进程正在使用什么文件或网络连接。
对于我，lsof替代了netstat和ps的全部工作。它可以带来那些工具所能带来的一切，而且要比那些工具多得多。那么，让我们来看看它的一些基本能力吧：
lsof关键选项
理解一些关于lsof如何工作的关键性东西是很重要的。最重要的是，当你给它传递选项时，默认行为是对结果进行“或”运算。因此，如果你正是用-i来拉出一个端口列表，同时又用-p来拉出一个进程列表，那么默认情况下你会获得两者的结果。
下面的一些其它东西需要牢记：
- 默认 : 没有选项，lsof列出活跃进程的所有打开文件
- 组合 : 可以将选项组合到一起，如-abc，但要当心哪些选项需要参数
- -a : 结果进行“与”运算（而不是“或”）
- -l : 在输出显示用户ID而不是用户名
- -h : 获得帮助
- -t : 仅获取进程ID
- -U : 获取UNIX套接口地址
- -F : 格式化输出结果，用于其它命令。可以通过多种方式格式化，如-F pcfn（用于进程id、命令名、文件描述符、文件名，并以空终止）
lsof输出各列信息的意义如下：
COMMAND：进程的名称
PID：进程标识符
PPID：父进程标识符（需要指定-R参数）
USER：进程所有者
PGID：进程所属组
FD：文件描述符，应用程序通过文件描述符识别该文件。如cwd、txt等
（1）cwd：表示current work dirctory，即：应用程序的当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改
（2）txt ：该类型的文件是程序代码，如应用程序二进制文件本身或共享库，如上列表中显示的 /sbin/init 程序
（3）lnn：library references (AIX);
（4）er：FD information error (see NAME column);
（5）jld：jail directory (FreeBSD);
（6）ltx：shared library text (code and data);
（7）mxx ：hex memory-mapped type number xx.
（8）m86：DOS Merge mapped file;
（9）mem：memory-mapped file;
（10）mmap：memory-mapped device;
（11）pd：parent directory;
（12）rtd：root directory;
（13）tr：kernel trace file (OpenBSD);
（14）v86 VP/ix mapped file;
（15）0：表示标准输出
（16）1：表示标准输入
（17）2：表示标准错误
一般在标准输出、标准错误、标准输入后还跟着文件状态模式：r、w、u等
（1）u：表示该文件被打开并处于读取/写入模式
（2）r：表示该文件被打开并处于只读模式
（3）w：表示该文件被打开并处于
（4）空格：表示该文件的状态模式为unknow，且没有锁定
（5）-：表示该文件的状态模式为unknow，且被锁定
同时在文件状态模式后面，还跟着相关的锁
（1）N：for a Solaris NFS lock of unknown type;
（2）r：for read lock on part of the file;
（3）R：for a read lock on the entire file;
（4）w：for a write lock on part of the file;（文件的部分写锁）
（5）W：for a write lock on the entire file;（整个文件的写锁）
（6）u：for a read and write lock of any length;
（7）U：for a lock of unknown type;
（8）x：for an SCO OpenServer Xenix lock on part of the file;
（9）X：for an SCO OpenServer Xenix lock on the entire file;
（10）space：if there is no lock.
TYPE：文件类型，如DIR、REG等，常见的文件类型
（1）DIR：表示目录
（2）CHR：表示字符类型
（3）BLK：块设备类型
（4）UNIX： UNIX 域套接字
（5）FIFO：先进先出 (FIFO) 队列
（6）IPv4：网际协议 (IP) 套接字
DEVICE：指定磁盘的名称
SIZE：文件的大小
NODE：索引节点（文件在磁盘上的标识）
NAME：打开文件的确切名称
lsof 获取网络信息
正如我所说的，我主要将lsof用于获取关于系统怎么和网络交互的信息。这里提供了关于此信息的一些主题：
使用-i显示所有连接
有些人喜欢用netstat来获取网络连接，但是我更喜欢使用lsof来进行此项工作。结果以对我来说很直观的方式呈现，我仅仅只需改变我的语法，就可以通过同样的命令来获取更多信息。
语法: lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
# lsof -i COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME dhcpcd 6061 root 4u IPv4 4510 UDP *:bootpc sshd 7703 root 3u IPv6 6499 TCP *:ssh (LISTEN) sshd 7892 root 3u IPv6 6757 TCP 10.10.1.5:ssh->192.168.1.5:49901 (ESTABLISHED)
使用-i 6仅获取IPv6流量
# lsof -i 6
lsof 仅显示TCP连接（同理可获得UDP连接）
你也可以通过在-i后提供对应的协议来仅仅显示TCP或者UDP连接信息。
# lsof -iTCP COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME sshd 7703 root 3u IPv6 6499 TCP *:ssh (LISTEN) sshd 7892 root 3u IPv6 6757 TCP 10.10.1.5:ssh->192.168.1.5:49901 (ESTABLISHED)
使用-i:port来显示与指定端口相关的网络信息
或者，你也可以通过端口搜索，这对于要找出什么阻止了另外一个应用绑定到指定端口实在是太棒了。
[root@iZbp14w0b2rs7i1400bjjmZ ~]# lsof -i :8080 COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME java 23041 root 51u IPv4 285408232 0t0 TCP *:webcache (LISTEN)
使用@host来显示指定到指定主机的连接
这对于你在检查是否开放连接到网络中或互联网上某个指定主机的连接时十分有用。
# lsof -i@172.16.12.5 sshd 7892 root 3u IPv6 6757 TCP 10.10.1.5:ssh->172.16.12.5:49901 (ESTABLISHED)
使用@host:port显示基于主机与端口的连接
你也可以组合主机与端口的显示信息。
# lsof -i@172.16.12.5:22 sshd 7892 root 3u IPv6 6757 TCP 10.10.1.5:ssh->172.16.12.5:49901 (ESTABLISHED)
找出监听端口
找出正等候连接的端口。
# lsof -i -sTCP:LISTEN
你也可以grep “LISTEN”来完成该任务。
# lsof -i | grep -i LISTEN iTunes 400 daniel 16u IPv4 0x4575228 0t0 TCP *:daap (LISTEN)
找出已建立的连接
你也可以显示任何已经连接的连接。
# lsof -i -sTCP:ESTABLISHED
你也可以通过grep搜索“ESTABLISHED”来完成该任务。
# lsof -i | grep -i ESTABLISHED firefox-b 169 daniel 49u IPv4 0t0 TCP 1.2.3.3:1863->1.2.3.4:http (ESTABLISHED)
lsof用户信息
你也可以获取各种用户的信息，以及它们在系统上正干着的事情，包括它们的网络活动、对文件的操作等。
使用-u显示指定用户打开了什么
# lsof -u daniel -- snipped -- Dock 155 daniel txt REG 14,2 2798436 823208 /usr/lib/libicucore.A.dylib Dock 155 daniel txt REG 14,2 1580212 823126 /usr/lib/libobjc.A.dylib Dock 155 daniel txt REG 14,2 2934184 823498 /usr/lib/libstdc++.6.0.4.dylib Dock 155 daniel txt REG 14,2 132008 823505 /usr/lib/libgcc_s.1.dylib Dock 155 daniel txt REG 14,2 212160 823214 /usr/lib/libauto.dylib -- snipped --
使用-u user来显示除指定用户以外的其它所有用户所做的事情
1. # lsof -u ^daniel 3. -- snipped -- 4. Dock 155 jim txt REG 14,2 2798436 823208 /usr/lib/libicucore.A.dylib 5. Dock 155 jim txt REG 14,2 1580212 823126 /usr/lib/libobjc.A.dylib 6. Dock 155 jim txt REG 14,2 2934184 823498 /usr/lib/libstdc++.6.0.4.dylib 7. Dock 155 jim txt REG 14,2 132008 823505 /usr/lib/libgcc_s.1.dylib 8. Dock 155 jim txt REG 14,2 212160 823214 /usr/lib/libauto.dylib 9. -- snipped --
杀死指定用户所做的一切事情
可以消灭指定用户运行的所有东西，这真不错。
1. # kill -9 `lsof -t -u daniel`
lsof命令和进程
可以查看指定程序或进程由什么启动，这通常会很有用，而你可以使用lsof通过名称或进程ID过滤来完成这个任务。下面列出了一些选项：
使用-c查看指定的命令正在使用的文件和网络连接
1. # lsof -c syslog-ng 3. COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME 4. syslog-ng 7547 root cwd DIR 3,3 4096 2 / 5. syslog-ng 7547 root rtd DIR 3,3 4096 2 / 6. syslog-ng 7547 root txt REG 3,3 113524 1064970 /usr/sbin/syslog-ng 7. -- snipped --
使用-p查看指定进程ID已打开的内容
1. # lsof -p 10075 3. -- snipped -- 4. sshd 10068 root mem REG 3,3 34808 850407 /lib/libnss_files-2.4.so 5. sshd 10068 root mem REG 3,3 34924 850409 /lib/libnss_nis-2.4.so 6. sshd 10068 root mem REG 3,3 26596 850405 /lib/libnss_compat-2.4.so 7. sshd 10068 root mem REG 3,3 200152 509940 /usr/lib/libssl.so.0.9.7 8. sshd 10068 root mem REG 3,3 46216 510014 /usr/lib/liblber-2.3 9. sshd 10068 root mem REG 3,3 59868 850413 /lib/libresolv-2.4.so 10. sshd 10068 root mem REG 3,3 1197180 850396 /lib/libc-2.4.so 11. sshd 10068 root mem REG 3,3 22168 850398 /lib/libcrypt-2.4.so 12. sshd 10068 root mem REG 3,3 72784 850404 /lib/libnsl-2.4.so 13. sshd 10068 root mem REG 3,3 70632 850417 /lib/libz.so.1.2.3 14. sshd 10068 root mem REG 3,3 9992 850416 /lib/libutil-2.4.so 15. -- snipped --
-t选项只返回PID
1. # lsof -t -c Mail 3. 350
lsof文件和目录
通过查看指定文件或目录，你可以看到系统上所有正与其交互的资源——包括用户、进程等。
显示与指定目录交互的所有一切
1. # lsof /var/log/messages/ 3. COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME 4. syslog-ng 7547 root 4w REG 3,3 217309 834024 /var/log/messages
显示与指定文件交互的所有一切
1. # lsof /home/daniel/firewall_whitelist.txt
lsof高级用法
与tcpdump类似，当你开始组合查询时，它就显示了它强大的功能。
显示daniel连接到1.1.1.1所做的一切
1. # lsof -u daniel -i @1.1.1.1 3. bkdr 1893 daniel 3u IPv6 3456 TCP 10.10.1.10:1234->1.1.1.1:31337 (ESTABLISHED)
同时使用-t和-c选项以给进程发送 HUP 信号
1. # kill -HUP `lsof -t -c sshd`
lsof +L1显示所有打开的链接数小于1的文件
这通常（当不总是）表示某个攻击者正尝试通过删除文件入口来隐藏文件内容。
1. # lsof +L1 3. (hopefully nothing)
显示某个端口范围的打开的连接
1. # lsof -i @fw.google.com:2150=2180
lsof资源
- lsof手册页：http://www.netadmintools.com/html/lsof.man.html
- 一般root用户才能执行lsof命令，普通用户可以看见/usr/sbin/lsof命令，
- 但是普通用户执行会显示“permission denied”
lsof指令的常用用法：
lsof abc.txt 显示开启文件abc.txt的进程
lsof -i :22 知道22端口现在运行什么程序
lsof -c abc 显示abc进程现在打开的文件
lsof -g gid 显示归属gid的进程情况
lsof +d /usr/local/ 显示目录下被进程开启的文件
lsof +D /usr/local/ 同上，但是会搜索目录下的目录，时间较长
lsof -d 4 显示使用fd为4的进程
lsof -i 用以显示符合条件的进程情况
语法: lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
- 46 --> IPv4 or IPv6
- protocol --> TCP or UDP
- hostname --> Internet host name
- hostaddr --> IPv4位置
- service --> /etc/service中的 service name (可以不只一个)
- port --> 端口号 (可以不只一个)
例子: TCP:25 - TCP and port 25
@1.2.3.4 - Internet IPv4 host address 1.2.3.4
tcp@ohaha.ks.edu.tw:ftp - TCP protocol hosthaha.ks.edu.tw service name:ftp
lsof -n 不将IP转换为hostname，缺省是不加上-n参数
例子: lsof -i tcp@ohaha.ks.edu.tw:ftp -n
lsof -p 12 看进程号为12的进程打开了哪些文件
lsof +|-r [t] 控制lsof不断重复执行，缺省是15s刷新
- -r，lsof会永远不断的执行，直到收到中断信号
- +r，lsof会一直执行，直到没有档案被显示
例子：不断查看目前ftp连接的情况：lsof -i tcp@ohaha.ks.edu.tw:ftp -r
lsof -s 列出打开文件的大小，如果没有大小，则留下空白
lsof -u username 以UID，列出打开的文件
