linux命令之lsof

一、基本介绍

(1)lsof命令用于查看你进程开打的文件,打开文件的进程,进程打开的端口(TCP、UDP).

(2)找回/恢复删除的文件.

二、lsof语法

lsof(选项) filename
 
-a:列出打开文件存在的进程;
-c<进程名>:列出指定进程所打开的文件; 
-g:列出GID号进程详情; 
-d<文件号>:列出占用该文件号的进程; 
+d<目录>:列出目录下被打开的文件; 
+D<目录>:递归列出目录下被打开的文件; 
-n<目录>:列出使用NFS的文件; 
-i<条件>:列出符合条件的进程。(4、6、协议、:端口、 @ip ) 
-p<进程号>:列出指定进程号所打开的文件; 
-u:列出UID号进程详情; 
-h:显示帮助信息; 
-v:显示版本信息。

实例:

lsof abc.txt 显示开启文件abc.txt的进程
lsof -c abc 显示abc进程现在打开的文件
lsof -c -p 1234 列出进程号为1234的进程所打开的文件
lsof -g gid 显示归属gid的进程情况
lsof +d /usr/local/ 显示目录下被进程开启的文件
lsof +D /usr/local/ 同上,但是会搜索目录下的目录,时间较长
lsof -d 4 显示使用fd为4的进程
lsof -i 用以显示符合条件的进程情况
lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
--> IPv4 or IPv6
  protocol --> TCP or UDP
  hostname --> Internet host name
  hostaddr --> IPv4地址
  service --> /etc/service中的 service name (可以不止一个)
  port --> 端口号 (可以不止一个)


三、详解lsof输出结果

[[email protected] ~]# cd /mnt/
[[email protected] mnt]# lsof /mnt/
COMMAND  PID USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
bash    1523 root  cwd    DIR   11,1     4096 1856 /mnt
lsof    1669 root  cwd    DIR   11,1     4096 1856 /mnt
lsof    1670 root  cwd    DIR   11,1     4096 1856 /mnt

COMMAND:进程的名称

PID:进程标识符

USER:进程所有者

FD:文件描述符,应用程序通过文件描述符识别该文件。如cwd、txt等

TYPE:文件类型,如DIR、REG等

DEVICE:指定磁盘的名称

SIZE:文件的大小

NODE:索引节点(文件在磁盘上的标识)

NAME:打开文件的确切名称

文件描述符列表:

cwd:表示current work dirctory,即:应用程序的当前工作目录,这是该应用程序启动的目录,除非它本身对这个目录进行更改。
txt:该类型的文件是程序代码,如应用程序二进制文件本身或共享库,如上列表中显示的 /sbin/init 程序。
lnn:library references (AIX); 
er:FD information error (see NAME column); 
jld:jail directory (FreeBSD); 
ltx:shared library text (code and data); 
mxx :hex memory-mapped type number xx. 
m86:DOS Merge mapped file; 
mem:memory-mapped file; 
mmap:memory-mapped device; 
pd:parent directory; 
rtd:root directory; 
tr:kernel trace file (OpenBSD); 
v86  VP/ix mapped file; 
0:表示标准输出 
1:表示标准输入 
2:表示标准错误

一般在标准输出、标准错误、标准输入后还跟着文件状态模式: 
u:表示该文件被打开并处于读取/写入模式。 
r:表示该文件被打开并处于只读模式。 
w:表示该文件被打开并处于。 
空格:表示该文件的状态模式为unknow,且没有锁定。 
-:表示该文件的状态模式为unknow,且被锁定。 

 
同时在文件状态模式后面,还跟着相关的锁: 
N:for a Solaris NFS lock of unknown type; 
r:for read lock on part of the file; 
R:for a read lock on the entire file; 
w:for a write lock on part of the file;(文件的部分写锁) 
W:for a write lock on the entire file;(整个文件的写锁) 
u:for a read and write lock of any length; 
U:for a lock of unknown type; 
x:for an SCO OpenServer Xenix lock on part      of the file; 
X:for an SCO OpenServer Xenix lock on the      entire file; 
space:if there is no lock.

文件类型:

DIR:表示目录。 
CHR:表示字符类型。 
BLK:块设备类型。 
UNIX: UNIX 域套接字。 
FIFO:先进先出 (FIFO) 队列。 
IPv4:网际协议 (IP) 套接字。 
DEVICE:指定磁盘的名称


四、对删除的文件进行恢复(该文件删除前已被进程打开)

[[email protected] ~]# lsof /var/log/messages
COMMAND   PID USER   FD   TYPE DEVICE SIZE/OFF   NODE NAME
rsyslogd 1252 root    4w   REG  253,0   201170 261273 /var/log/messages
tail     1550 root    3r   REG  253,0   201170 261273 /var/log/messages
[[email protected] ~]# rm -rf  /var/log/messages 
[[email protected] ~]# 
[[email protected] ~]# lsof /var/log/messages
lsof: status error on /var/log/messages: No such file or directory
lsof 4.82
 latest revision: ftp://lsof.itap.purdue.edu/pub/tools/unix/lsof/
 latest FAQ: ftp://lsof.itap.purdue.edu/pub/tools/unix/lsof/FAQ
 latest man page: ftp://lsof.itap.purdue.edu/pub/tools/unix/lsof/lsof_man
 usage: [-?abhlnNoOPRtUvVX] [+|-c c] [+|-d s] [+D D] [+|-f[gG]] [+|-e s]
 [-F [f]] [-g [s]] [-i [i]] [+|-L [l]] [+m [m]] [+|-M] [-o [o]] [-p s]
[+|-r [t]] [-s [p:s]] [-S [t]] [-T [t]] [-u s] [+|-w] [-x [fl]] [--] [names]
Use the ``-h‘‘ option to get more help information.
[[email protected] ~]# lsof | grep /var/log/messages
rsyslogd  1252    root    4w      REG              253,0   201170     261273 /var/log/messages (deleted)
tail      1550    root    3r      REG              253,0   201170     261273 /var/log/messages (deleted)

[[email protected] ~]# cat /proc/1252/fd/4 >aaa.txt 
[[email protected] ~]# cat /proc/1550/fd/3 >bbb.txt

[[email protected] ~]# ls -lrt 
total 420
-rw-r--r--. 1 root root   3161 Jun 18 19:58 install.log.syslog
-rw-r--r--. 1 root root   9913 Jun 18 19:59 install.log
-rw-------. 1 root root   1116 Jun 18 19:59 anaconda-ks.cfg
-rw-r--r--  1 root root 201170 Jul  6 20:17 aaa.txt
-rw-r--r--  1 root root 201365 Jul  6 20:18 bbb.txt
[[email protected] ~]# diff aaa.txt bbb.txt 
[[email protected] ~]#

[[email protected] ~]# cp aaa.txt  /var/log/messages 
到此文件恢复完成!
时间: 2024-10-27 08:35:02

linux命令之lsof的相关文章

linux 命令——51 lsof(转)

lsof(list open files) 是一个列出当前系统打开文件的工具.在linux环境下,任何事物都以文件的形式存在,通过文件不仅仅可以访问常规数据,还可以访问网络连接和硬件.所以 如传输控制协议 (TCP) 和用户数据报协议 (UDP) 套接字等,系统在后台都为该应用程序分配了一个文件描述符,无论这个文件的本质如何,该文件描述符为应用程序与基础操作系统之间的交互提供了通用接口.因为应用程序打开文件的描述符列表提供了大量关于这个应用程序本身的信息,因此通过lsof工具能够查看这个列表对系

Linux命令神器-Lsof

Lsof(list open files)是一个列出当前系统打开文件的工具.在linux环境下,任何事物都以文件的形式存在,通过文件不仅仅可以访问常规数据,还可以访问网络连接和硬件. Lsof是遵从Unix哲学的典范,它只完成一个功能,并且做的相当完美--它可以列出某个进程打开的所有文件信息.打开的文件可能是普通的文件.目录.NFS文件.块文件.字符文件.共享库.常规管道.命名管道.符号链接.Socket流.网络Socket,以及其它更多类型.因为,"一切皆文件"乃为Unix系统的重要

Linux命令之 lsof详解

简介: lsof(list open files)是一个列出当前系统打开文件的工具.在linux环境下,任何事物都以文件的形式存在,通过文件不仅仅可以访问常规数据,还可以访问网络连接和硬件(来源百度百科). lsof在查找进程占用的那些文件或pid号由那些文件发起的等方面作用很大:尤其在Linux系统被黑后的溯源工作上绝对可以称之为一个重量级的命令. 格式详解: [[email protected] ~]# lsof -c httpd | head -5 COMMAND  PID   USER 

Linux命令之--- lsof

lsof简介 lsof(list open files)是一个列出当前系统打开文件的工具.在linux环境下,任何事物都以文件的形式存在,通过文件不仅仅可以访问常规数据,还可以访问网络连接和硬件.所以如传输控制协议 (TCP) 和用户数据报协议 (UDP) 套接字等,系统在后台都为该应用程序分配了一个文件描述符,无论这个文件的本质如何,该文件描述符为应用程序与基础操作系统之间的交互提供了通用接口.因为应用程序打开文件的描述符列表提供了大量关于这个应用程序本身的信息,因此通过lsof工具能够查看这

每天一个linux命令(38)--lsof 之FD文件描述符

一般lsof 会输出以下这些信息: COMMAND: 进程的名称 PID:进程标识符 PPID:父进程标识符(需要指定-R参数) USER:进程所有者 PGID:进程所属组 FD:文件描述符,应用程序通过文件描述符识别该文件. TYPE:文件类型.如 DIR.REG等 DEVICE:指定磁盘的名称 SIZE:文件的大小 NODE:索引节点(文件在磁盘上的标识) NAME:打开文件的确切名称 这篇重点是讲一下FD文件描述符,因为在lsof 中这个内容占了很大的一个篇幅,我又一向崇尚精简,所以把它单

Linux命令学习积累:lsof命令

lsof命令 lsof(list open files)是一个列出当前系统打开文件的工具.在linux环境下,任何事物都以文件的形式存在,通过文件不仅仅可以访问常规数据,还可以访问网络连接和硬件.所以如传输控制协议 (TCP) 和用户数据报协议 (UDP) 套接字等,系统在后台都为该应用程序分配了一个文件描述符,无论这个文件的本质如何,该文件描述符为应用程序与基础操作系统之间的交互提供了通用接口.因为应用程序打开文件的描述符列表提供了大量关于这个应用程序本身的信息,因此通过lsof工具能够查看这

【转】每天一个linux命令(51):lsof命令

原文网址:http://www.cnblogs.com/peida/archive/2013/02/26/2932972.html lsof(list open files)是一个列出当前系统打开文件的工具.在linux环境下,任何事物都以文件的形式存在,通过文件不仅仅可以访问常规数据,还可以访问网络连接和硬件.所以如传输控制协议 (TCP) 和用户数据报协议 (UDP) 套接字等,系统在后台都为该应用程序分配了一个文件描述符,无论这个文件的本质如何,该文件描述符为应用程序与基础操作系统之间的交

每天一个linux命令(43):lsof命令

lsof(list open files) 是一个列出当前系统打开文件的工具.在linux环境下,任何事物都以文件的形式存在,通过文件不仅仅可以访问常规数据,还可以访问网络连接和硬件.所以 如传输控制协议 (TCP) 和用户数据报协议 (UDP) 套接字等,系统在后台都为该应用程序分配了一个文件描述符,无论这个文件的本质如何,该文件 描述符为应用程序与基础操作系统之间的交互提供了通用接口.因为应用程序打开文件的描述符列表提供了大量关于这个应用程序本身的信息,因此通过lsof工 具能够查看这个列表

linux命令学习笔记(51):lsof命令

lsof(list open files)是一个列出当前系统打开文件的工具.在linux环境下,任何事物都以文件的形式存在, 通过文件不仅仅可以访问常规数据,还可以访问网络连接和硬件.所以如传输控制协议 (TCP) 和用户数据报协议 (UDP) 套接字等,系统在后台都为该应用程序分配了一个文件描述符,无论这个文件的本质如何,该文件描述符 为应用程序与基础操作系统之间的交互提供了通用接口.因为应用程序打开文件的描述符列表提供了大量关于 这个应用程序本身的信息,因此通过lsof工具能够查看这个列表对