LSOF查看linux中文件打开情况

前言

我们都知道,在linux下,“一切皆文件”,因此有时候查看文件的打开情况,就显得格外重要,而这里有一个命令能够在这件事上很好的帮助我们-它就是lsof。

linux下有哪些文件

在介绍lsof命令之前,先简单说一下,linux主要有哪些文件:

  • 普通文件
  • 目录
  • 符号链接
  • 面向块的设备文件
  • 面向字符的设备文件
  • 管道和命名管道
  • 套接字

以上各类文件类型不多做详细介绍。

lsof命令实用用法介绍

lsof,是list open files的简称。它的参数很多,但是我们这里只介绍一些实用的用法(注意有些情况需要root权限执行)。

查看当前打开的所有文件

一般来说,直接输入lsof命令产生的结果实在是太多,可能很难找到我们需要的信息。不过借此说明一下一条记录都有哪些信息。

$ lsof(这里选取一条记录显示)COMMAND   PID                      USER   FD             TYPE        DEVICE SIZE/OFF   NODE   NAMEvi        27940                    hyb    7u      REG               8,15     16384     137573 /home/hyb/.1.txt.swp

lsof显示的结果,从左往右分别代表:打开该文件的程序名,进程id,用户,文件描述符,文件类型,设备,大小,iNode号,文件名。

我们暂且先关注我们知道的列。这条记录,表明进程id为27940的vi程序,打开了文件描述值为7,且处于读写状态的,在/home/hyb目录下的普通文件(REG regular file).1.txt.swap,当前大小16384字节。

列出被删除但占用空间的文件

在生产环境中,我们可能会使用df命令看到磁盘空间占满了,然而实际上又很难找到占满空间的文件,这常常是由于某个大文件被删除了,但是它却被某个进程打开,导致通过普通的方式找不到它的踪迹,最常见的就是日志文件。我们可以通过lsof来发现这样的文件:

$ lsof |grep deletedXorg      1131 root  125u      REG                0,5        4      61026 /memfd:xshmfence (deleted)Xorg      1131 root  126u      REG                0,5        4      62913 /memfd:xshmfence (deleted)Xorg      1131 root  129u      REG                0,5        4      74609 /memfd:xshmfence (deleted)

可以看到这些被删除的但仍然被打开文件,最后查找出来的时候,会被标记deleted。这个时候就可以根据实际情况分析,到底哪些文件可能过大但是却被删除了,导致空间仍然占满。

恢复打开但被删除的文件

前面我们可以找到被删除但是仍然被打开的文件,实际上文件并没有真正的消失,如果是意外被删除的,我们还有手段恢复它。以/var/log/syslog文件为例,我们先删除它(root用户):

$ rm /var/log/syslog

然后使用lsof查看那个进程打开了该文件:

$ lsof |grep syslogrs:main    993 1119           syslog    5w      REG               8,10     78419     528470 /var/log/syslog (deleted)

可以找到进程id为993的进程打开了该文件,我们知道每个进程在/proc下都有文件描述符打开的记录:

$ ls -l /proc/993/fdlr-x------ 1 root   root   64 3月   5 18:30 0 -> /dev/nulll-wx------ 1 root   root   64 3月   5 18:30 1 -> /dev/nulll-wx------ 1 root   root   64 3月   5 18:30 2 -> /dev/nulllrwx------ 1 root   root   64 3月   5 18:30 3 -> socket:[15032]lr-x------ 1 root   root   64 3月   5 18:30 4 -> /proc/kmsgl-wx------ 1 root   root   64 3月   5 18:30 5 -> /var/log/syslog (deleted)l-wx------ 1 root   root   64 3月   5 18:30 6 -> /var/log/auth.log

这里就找到了被删除的syslog文件,文件描述符是5,我们把它重定向出来:

$ cat /proc/993/fd/5 > syslog$ ls -al /var/log/syslog-rw-r--r-- 1 root root 78493 3月   5 19:22 /var/log/syslog

这样我们就恢复了syslog文件。

查看当前文件被哪些进程打开

Windows下经常遇到要删除某个文件,然后告诉你某个程序正在使用,然而不告诉你具体是哪个程序。我们可以在资源管理器-性能-资源监视器-cpu-关联的句柄处搜索文件,即可找到打开该文件的程序,但是搜索速度感人。

linux就比较容易了,使用lsof命令就可以了,例如要查看当前哪些程序打开了hello.c:

$ lsof hello.cCOMMAND   PID USER   FD   TYPE DEVICE SIZE/OFF   NODE NAMEtail    28731  hyb    3r   REG   8,15      228 138441 hello.c

但是我们会发现,使用vi打开的hello.c并没有找出来,这是因为vi打开的是一个临时副本。我们换一种方式查找:

$ lsof |grep hello.ctail      28906                    hyb    3r      REG               8,15       228     138441 /home/hyb/workspaces/c/hello.cvi        28933                    hyb    9u      REG               8,15     12288     137573 /home/hyb/workspaces/c/.hello.c.swp

这样我们就找到了两个程序和hello.c文件相关。

这里grep的作用是从所有结果中只列出符合条件的结果。

查看某个目录文件被打开情况

$ lsof +D ./

查看当前进程打开了哪些文件

使用方法:lsof -c 进程名
通常用于程序定位问题,例如用于查看当前进程使用了哪些库,打开了哪些文件等等。假设有一个循环打印字符的hello程序:

$ lsof -c helloCOMMAND   PID USER   FD   TYPE DEVICE SIZE/OFF   NODE NAMEhello   29190  hyb  cwd    DIR   8,15     4096 134538 /home/hyb/workspaces/chello   29190  hyb  rtd    DIR   8,10     4096      2 /hello   29190  hyb  txt    REG   8,15     9816 138314 /home/hyb/workspaces/c/hellohello   29190  hyb  mem    REG   8,10  1868984 939763 /lib/x86_64-linux-gnu/libc-2.23.sohello   29190  hyb  mem    REG   8,10   162632 926913 /lib/x86_64-linux-gnu/ld-2.23.sohello   29190  hyb    0u   CHR 136,20      0t0     23 /dev/pts/20hello   29190  hyb    1u   CHR 136,20      0t0     23 /dev/pts/20hello   29190  hyb    2u   CHR 136,20      0t0     23 /dev/pts/20

我们可以从中看到,至少它用到了/lib/x86_64-linux-gnu/libc-2.23.so以及hello文件。

也可以通过进程id查看,可跟多个进程id,使用逗号隔开:

$ lsof -p 29190COMMAND   PID USER   FD   TYPE DEVICE SIZE/OFF   NODE NAMEhello   29190  hyb  cwd    DIR   8,15     4096 134538 /home/hyb/workspaces/chello   29190  hyb  rtd    DIR   8,10     4096      2 /hello   29190  hyb  txt    REG   8,15     9816 138314 /home/hyb/workspaces/c/hellohello   29190  hyb  mem    REG   8,10  1868984 939763 /lib/x86_64-linux-gnu/libc-2.23.sohello   29190  hyb  mem    REG   8,10   162632 926913 /lib/x86_64-linux-gnu/ld-2.23.sohello   29190  hyb    0u   CHR 136,20      0t0     23 /dev/pts/20hello   29190  hyb    1u   CHR 136,20      0t0     23 /dev/pts/20hello   29190  hyb    2u   CHR 136,20      0t0     23 /dev/pts/20

当然这里还有一种方式,就是利用proc文件系统,首先找到hello进程的进程id
:

$ ps -ef|grep hellohyb      29190 27929  0 21:14 pts/20   00:00:00 ./hello 2hyb      29296 28848  0 21:18 pts/22   00:00:00 grep --color=auto hello

可以看到进程id为29190,查看该进程文件描述记录目录:

$ ls -l /proc/29190/fdlrwx------ 1 hyb hyb 64 3月   2 21:14 0 -> /dev/pts/20lrwx------ 1 hyb hyb 64 3月   2 21:14 1 -> /dev/pts/20lrwx------ 1 hyb hyb 64 3月   2 21:14 2 -> /dev/pts/20

这种方式能够过滤很多信息,因为它只列出了该进程实际打开的,这里它只打开了1,2,3,即标准输入,标准输出和标准错误。

查看某个端口被占用情况

在使用数据库或者启用web服务的时候,总能遇到端口占用问题,那么怎么查看某个端口是否被占用呢?

$ lsof -i :6379COMMAND     PID USER   FD   TYPE DEVICE SIZE/OFF NODE NAMEredis-ser 29389  hyb    6u  IPv6 534612      0t0  TCP *:6379 (LISTEN)redis-ser 29389  hyb    7u  IPv4 534613      0t0  TCP *:6379 (LISTEN)

这里可以看到redis-ser进程占用了6379端口。

查看所有的TCP/UDP连接

$ lsof -i tcpava       2534  hyb    6u  IPv6  31275      0t0  TCP localhost:9614 (LISTEN)java       2534  hyb   22u  IPv6  96922      0t0  TCP localhost:9614->localhost:39004 (ESTABLISHED)java       2534  hyb   23u  IPv6 249588      0t0  TCP localhost:9614->localhost:45460 (ESTABLISHED)

当然我们也可以使用netstat命令。

$ netstat -anp|grep 6379

这里的-i参数可以跟多种条件:

  • -i 4    #ipv4地址
  • -i 6    #ipv6地址
  • -i tcp  #tcp连接
  • -i :3306  #端口
  • -i @ip  #ip地址

因此需要查看与某个ip地址建立的连接时,可以使用下面的方式:

$ lsof -i@127.0.0.1

查看某个用户打开了哪些文件

linux是一个多用户操作系统,怎么知道其他普通用户打开了哪些文件呢?可使用-u参数

$ lsof -u hyb(内容太多,省略)

列出除了某个进程或某个用户打开的文件

实际上和前面使用方法类似,只不过,在进程id前面或者用户名前面加^,例如:

lsof -p ^1     #列出除进程id为1的进程以外打开的文件lsof -u ^root  #列出除root用户以外打开的文件

总结

最新内容地址:https://www.yanbinghu.com/2019/03/05/61180.html

原文地址:https://www.cnblogs.com/Leo_wl/p/10530149.html

时间: 2024-10-12 17:27:40

LSOF查看linux中文件打开情况的相关文章

linux 查看目录下文件占用情况

系统盘满会造成网卡不能编辑  df  -l 对于du命令,-h表示 查看以M 为单位显示文件大小结果,-s 统计此目录中所有文件大小总和. du * / --exclude=home --exclude=bkup   排除 /home  /backup 目录下的不算,查看哪个占用空间最大 linux 查看目录下文件占用情况

如何在Windows系统中查看Linux的文件

通过使用装载命令mount,我们能够在Linux中轻松地查阅.使用Windows的文件.俗话说有来有往嘛,我们 当然也希望在Windows中能看到Linux的文件.可是Windows可不像Linux那么友好,并未备有与Linux沟通的工具, 怎么办呢?别急,网络上有个小工具叫Linuxdos,不到500K,运行在Windows下,专用于查看Linux的文件.运行 之后,你可以选择驱动器,然后它就像资源管理器一样列出Linux的文件系统.

windows中的txt文件上传到linux中,打开出现中文乱码

问题:在windows中显示正常的文件,上传到linux中,打开出现中文乱码. 解决方案:使用iconv命令 例如:iconv -f gbk -t utf8 shujujiegou.txt > shujujiegou.txt.utf8 原文地址:https://www.cnblogs.com/huangtao1927/p/8660815.html

Linux中文件描述符和打开文件之间的关系

Linux中文件描述符和打开文件之间的关系 文件描述符: 在形式上是一个非负整数.实际上,它是一个索引值,指向内核为每一个进程所维护的该进程打开文件的记录表. Linux中的文件类型 Linux系统中把一切都看做文件,包括普通文件-.目录文件d.字符设备文件c.块设备文件b.符号链接文件l.文件描述符是内核为了高效管理已被打开的文件所创建的索引(一个非负整数),用于指代已被打开的文件,Linux下所有的的I/O操作的系统调用都是通过文件描述符执行.例如0表示标准输入.1表示标准输出.3表示标准错

如何正确查看Linux机器内存使用情况

如何正确查看Linux机器内存使用情况 背景 ??只要工作上涉及到Linux机器,基本上都会有这样一个需求,查看内存使用情况,但是怎么看才正确呢?之前使用的是top命令,一直存在一个误区. 为什么top命令看内存会有误区? ??top是个很好用的系统分析工具,可以实时查看进程,cpu使用率,内存使用率等情况,有点像windows下的任务管理器.我以前一直以为top看到的就是真正的内存使用情况,后来baidugoogle好久,才发现自己图样.= =|| 首先看下top命令后展示出来的内存使用情况,

Linux最大文件打开数使用经验详解

首先普及几个知识: Linux下一切都是文件,包括输入输出设备.网络连接.socket.管道等 与文件打开数最相关的是文件描述符(有的人喜欢称作文件标识符,英文为file descriptor),文件打开数的实质就是文件描述符的数量 文件打开数的多少取决于系统种类.内存大小,int(语言关键字,如C99的int)长度(非负整数),以及系统管理员的设定 最大文件打开数是针对一个进程而言,即一个进程能打开的文件句柄数目是有限的,不能超过最大文件打开数 ulimit命令只对当前shell有效,因此在编

查看linux中的TCP连接数【转】

转自:http://blog.csdn.net/he_jian1/article/details/40787269 查看linux中的TCP连接数 本文章已收录于:  计算机网络知识库  分类: 安全测试总结(2)  性能经验总结(107)  版权声明:本文为博主原创文章,未经博主允许不得转载. 一.查看哪些IP连接本机 netstat -an 二.查看TCP连接数 1)统计80端口连接数netstat -nat|grep -i "80"|wc -l 2)统计httpd协议连接数ps

Linux中文件的基本属性

一.用户及用户组 所有者(属主):一般为文件的创建者,谁创建了该文件,就自然的成为该文件的所有者,每个文件的所有者(属主)有且仅有一个.用ll命令可以看到文件的所有者. 所属组(属组):当某个用户创建了一个文件后,这个文件的所在组就是该用户所在的组,一个用户可以属于多个组但仅有一个主组,用ll命令可以看到文件的所有组. 其他人:除开文件的所有者和所属组之外的用户,系统的其它用户都是文件的其他者.比如创建了两个用户Tom和Jerry,Tom相对Jerry创建的文件来说就是其他人. 二.文件权限 L

linux中文件的三种时间

Linux 中文件的三种时间 文件的三种时间: 1.        mtime 文件的修改时间 文件的内容发生改变.包括文件中空格数目.字符的变动再复原等这些看上去并不影响有效数据内容的操作. 有意的改变时间戳.Eg:使用touch –m –t 2016666666666fileName这样的命令故意改变mtime. 2.        ctime 文件的改变时间 文件的"属性"改变.Eg:文件的权限.属主.属组等. mtime发生改变和人为的改变atime的情况,Eg:touch –