linux学习笔记-端口分析

 Lsof 是听从Unix 哲学的典范，它只作一件事情，而且作的至关完美——它能够列出某个进程打开的全部文件信息。打开的文件多是普通的文件，目录，NFS文件，块文件，字符文件，共享库，常规管道，明明管道，符号连接，Socket流，网络Socket，UNIX域Socket，以及其它更多。由于Unix系统中几乎全部东西都是文件，你能够想象lsof该有多有用。

 

如何使用lsof？

这篇文章中我会尽力列举我能想到的全部lsof的用法，让咱们先从最简单的开始（或许你已经知道了），而后逐渐增长复杂度：

列出全部打开的文件

# lsof

不带任何参数运行lsof会列出全部进程打开的全部文件。

找出谁在使用某个文件

# lsof /path/to/file

只须要执行文件的路径，lsof就会列出全部使用这个文件的进程，你也能够列出多个文件，lsof会列出全部使用这些文件的进程。

你也能够一次制定多个文件：

# lsof /path/to/file1 /path/to/file2

递归查找某个目录中全部打开的文件

# lsof +D /usr/lib

加上+D参数，lsof会对指定目录进行递归查找，注意这个参数要比grep版本慢：

# lsof | grep ‘/usr/lib’

之因此慢是由于+D首先查找全部的文件，而后一次性输出。

列出某个用户打开的全部文件

# lsof -u pkrumins

-u选项限定只列出全部被用户pkrumins打开的文件，你能够经过逗号指定多个用户：

# lsof -u rms,root

这条命令会列出全部rms和root用户打开的文件。

你也能够像下面这样使用多个-u作一样的事情：

# lsof -u rms -u root

查找某个程序打开的全部文件

# lsof -c apache

-c选项限定只列出以apache开头的进程打开的文件：

因此你能够不用像下面这样写：

# lsof | grep foo

而使用下面这个更简短的版本：

# lsof -c foo

事实上，你能够只制定进程名称的开头：

# lsof -c apa

这会列出全部以apa开头的进程打开的文件

你一样能够制定多个-c参数：

# lsof -c apache -c python

这会列出全部由apache和python打开的文件

列出全部由某个用户或某个进程打开的文件

# lsof -u pkrumins -c apache

你也能够组合使用多个选项，这些选项默认进行或关联，也就是说上面的命令会输入由pkrumins用户或是apache进程打开的文件。

列出全部由一个用户与某个进程打开的文件

# lsof -a -u pkrumins -c bash

-a参数能够将多个选项的组合条件由或变为与，上面的命令会显示全部由pkrumins用户以及bash进程打开的文件。

列出除root用户外的全部用户打开的文件

# lsof -u ^root

注意root前面的^符号，它执行取反操做，所以lsof会列出全部root用户以外的用户打开的文件。

列出全部由某个PID对应的进程打开的文件

# lsof -p 1

-p选项让你可使用进程id来过滤输出。

记住你也能够用都好来分离多个pid。

# lsof -p 450,980,333

列出全部进程打开的文件除了某个pid的

# lsof -p ^1

同前面的用户同样，你也能够对-p选项使用^来进行取反。

列出全部网络链接

# lsof -i

lsof的-i选项能够列出全部打开了网络套接字（TCP和UDP）的进程。

列出全部TCP网络链接

# lsof -i tcp

也能够为-i选项加上参数，好比tcp，tcp选项会强制lsof只列出打开TCP sockets的进程。

列出全部UDP网络链接

# lsof -i udp

一样udp让lsof只列出使用UDP socket的进程。

找到使用某个端口的进程

# lsof -i :25

:25和-i选项组合可让lsof列出占用TCP或UDP的25端口的进程。

你也可使用/etc/services中制定的端口名称来代替端口号，好比：

# lsof -i :smtp

找到使用某个udp端口号的进程

# lsof -i udp:53

一样的，也能够找到使用某个tcp端口的进程：

# lsof -i tcp:80

找到某个用户的全部网络链接

# lsof -a -u hacker -i

使用-a将-u和-i选项组合可让lsof列出某个用户的全部网络行为。

列出全部NFS（网络文件系统）文件

# lsof -N

这个参数很好记，-N就对应NFS。

列出全部UNIX域Socket文件

# lsof -U

这个选项也很好记，-U就对应UNIX。

列出全部对应某个组id的进程

# lsof -g 1234

进程组用来来逻辑上对进程进行分组，这个例子查找全部PGID为1234的进程打开的文件。

列出全部与某个描述符关联的文件

# lsof -d 2

这个命令会列出全部以描述符2打开的文件。

你也能够为描述符指定一个范围：

# lsof -d 0-2

这会列出全部描述符为0，1，2的文件。

-d选项还支持其它不少特殊值，下面的命令列出全部内存映射文件：

# lsof -d mem

txt则列出全部加载在内存中并正在执行的进程：

# lsof -d txt

输出使用某些资源的进程pid

# lsof -t -i

-t选项输出进程的PID，你能够将它和-i选项组合输出使用某个端口的进程的PID，下面的命令将会杀掉全部使用网络的进程：

# kill -9 `lsof -t -i`

循环列出文件

# lsof -r 1

-r选项让lsof能够循环列出文件直到被中断，参数1的意思是每秒钟重复打印一次，这个选项最好同某个范围比较小的查询组合使用，好比用来监测网络活动：

# lsof -r 1 -u john -i -a

如何安装lsof？

许多Unix系统都内置了lsof，若是你的系统没有安装，你能够从这里直接下载源代码。

BSD系统有一个相似的工具能够作一样的事情，叫作fstat。

你能够经过man lsof来了解关于lsof的完整文档，或者经过lsof -h查看。

开始体验lsof的乐趣吧！

 

实际应用中有时须要知晓端口是否被占用，占用端口的具体进程能够按以下方式进行：

1) lsof -i:端口号   查到使用端口的pid

2) ps -ef | grep pid  查看进程信息

3) kill -9 pid   关闭进程