Linux 命令神器：lsof

做者：西华子
连接：https://www.jianshu.com/p/a3aa6b01b2e1
来源：简书
著做权归做者全部。商业转载请联系做者得到受权，非商业转载请注明出处。

lsof是系统管理/安全的尤伯工具。将这个工具称之为lsof真实名副其实，由于它是指“列出打开文件（lists openfiles）”。而有一点要切记，在Unix中一切（包括网络套接口）都是文件。

有趣的是，lsof也是有着最多开关的Linux/Unix命令之一。它有那么多的开关，它有许多选项支持使用-和+前缀。

1.  usage:  [-?abhlnNoOPRstUvV]  [+|-c c]  [+|-d s]  [+D D]  [+|-f[cgG]]
2.  [-F [f]]  [-g [s]]  [-i [i]]  [+|-L [l]]  [+|-M]  [-o [o]]
3.  [-p s]  [+|-r [t]]  [-S [t]]  [-T [t]]  [-u s]  [+|-w]  [-x [fl]]  [--]  [names]

正如你所见，lsof有着实在是使人惊讶的选项数量。你可使用它来得到你系统上设备的信息，你能经过它了解到指定的用户在指定的地点正在碰什么东西，或者甚至是一个进程正在使用什么文件或网络链接。

对于我，lsof替代了netstat和ps的所有工做。它能够带来那些工具所能带来的一切，并且要比那些工具多得多。那么，让咱们来看看它的一些基本能力吧：

关键选项

理解一些关于lsof如何工做的关键性东西是很重要的。最重要的是，当你给它传递选项时，默认行为是对结果进行“或”运算。所以，若是你正是用-i来拉出一个端口列表，同时又用-p来拉出一个进程列表，那么默认状况下你会得到二者的结果。

下面的一些其它东西须要牢记：

• 默认 : 没有选项，lsof列出活跃进程的全部打开文件

• 组合 : 能够将选项组合到一块儿，如-abc，但要小心哪些选项须要参数

• -a : 结果进行“与”运算（而不是“或”）

• -l : 在输出显示用户ID而不是用户名

• -h : 得到帮助

• -t : 仅获取进程ID

• -U : 获取UNIX套接口地址

• -F : 格式化输出结果，用于其它命令。能够经过多种方式格式化，如-F pcfn（用于进程id、命令名、文件描述符、文件名，并以空终止）

获取网络信息

正如我所说的，我主要将lsof用于获取关于系统怎么和网络交互的信息。这里提供了关于此信息的一些主题：

使用-i显示全部链接

有些人喜欢用netstat来获取网络链接，可是我更喜欢使用lsof来进行此项工做。结果以对我来讲很直观的方式呈现，我仅仅只需改变个人语法，就能够经过一样的命令来获取更多信息。

语法: lsof -i[46] [protocol][@hostname|hostaddr][:service|port]

1.  #  lsof  -i

3.  COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
4.  dhcpcd 6061 root 4u  IPv4  4510 UDP *:bootpc
5.  sshd  7703 root 3u  IPv6  6499 TCP *:ssh  (LISTEN)6.  sshd  7892 root 3u  IPv6  6757 TCP 10.10.1.5:ssh->192.168.1.5:49901  (ESTABLISHED)

使用-i 6仅获取IPv6流量

1.  #  lsof  -i 6

仅显示TCP链接（同理可得到UDP链接）

你也能够经过在-i后提供对应的协议来仅仅显示TCP或者UDP链接信息。

1.  #  lsof  -iTCP

3.  COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
4.  sshd  7703 root 3u  IPv6  6499 TCP *:ssh  (LISTEN)5.  sshd  7892 root 3u  IPv6  6757 TCP 10.10.1.5:ssh->192.168.1.5:49901  (ESTABLISHED)

使用-i:port来显示与指定端口相关的网络信息

或者，你也能够经过端口搜索，这对于要找出什么阻止了另一个应用绑定到指定端口实在是太棒了。

1.  #  lsof  -i :22

3.  COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
4.  sshd  7703 root 3u  IPv6  6499 TCP *:ssh  (LISTEN)5.  sshd  7892 root 3u  IPv6  6757 TCP 10.10.1.5:ssh->192.168.1.5:49901  (ESTABLISHED)

使用@host来显示指定到指定主机的链接

这对于你在检查是否开放链接到网络中或互联网上某个指定主机的链接时十分有用。

1.  #  lsof  -i@172.16.12.5

3.  sshd  7892 root 3u  IPv6  6757 TCP 10.10.1.5:ssh->172.16.12.5:49901  (ESTABLISHED)

使用@host:port显示基于主机与端口的链接

你也能够组合主机与端口的显示信息。

1.  #  lsof  -i@172.16.12.5:223.  sshd  7892 root 3u  IPv6  6757 TCP 10.10.1.5:ssh->172.16.12.5:49901  (ESTABLISHED)

找出监听端口

找出正等候链接的端口。

1.  #  lsof  -i -sTCP:LISTEN

你也能够grep “LISTEN”来完成该任务。

1.  #  lsof  -i |  grep  -i LISTEN3.  iTunes 400 daniel 16u  IPv4  0x4575228  0t0 TCP *:daap (LISTEN)

找出已创建的链接

你也能够显示任何已经链接的链接。

1.  #  lsof  -i -sTCP:ESTABLISHED

你也能够经过grep搜索“ESTABLISHED”来完成该任务。

1.  #  lsof  -i |  grep  -i ESTABLISHED3.  firefox-b 169 daniel 49u  IPv4  0t0 TCP 1.2.3.3:1863->1.2.3.4:http (ESTABLISHED)

用户信息

你也能够获取各类用户的信息，以及它们在系统上正干着的事情，包括它们的网络活动、对文件的操做等。

使用-u显示指定用户打开了什么

1.  #  lsof  -u daniel

3.  -- snipped --
4.  Dock  155 daniel  txt REG 14,2  2798436  823208  /usr/lib/libicucore.A.dylib
5.  Dock  155 daniel  txt REG 14,2  1580212  823126  /usr/lib/libobjc.A.dylib
6.  Dock  155 daniel  txt REG 14,2  2934184  823498  /usr/lib/libstdc++.6.0.4.dylib
7.  Dock  155 daniel  txt REG 14,2  132008  823505  /usr/lib/libgcc_s.1.dylib
8.  Dock  155 daniel  txt REG 14,2  212160  823214  /usr/lib/libauto.dylib
9.  -- snipped --

使用-u ^{user来显示除指定用户之外的其它全部用户所作的事情}

1.  #  lsof  -u ^daniel

3.  -- snipped --
4.  Dock  155 jim  txt REG 14,2  2798436  823208  /usr/lib/libicucore.A.dylib
5.  Dock  155 jim  txt REG 14,2  1580212  823126  /usr/lib/libobjc.A.dylib
6.  Dock  155 jim  txt REG 14,2  2934184  823498  /usr/lib/libstdc++.6.0.4.dylib
7.  Dock  155 jim  txt REG 14,2  132008  823505  /usr/lib/libgcc_s.1.dylib
8.  Dock  155 jim  txt REG 14,2  212160  823214  /usr/lib/libauto.dylib
9.  -- snipped --

杀死指定用户所作的一切事情

能够消灭指定用户运行的全部东西，这真不错。

1.  #  kill  -9  `lsof -t -u daniel`

命令和进程

能够查看指定程序或进程由什么启动，这一般会颇有用，而你可使用lsof经过名称或进程ID过滤来完成这个任务。下面列出了一些选项：

使用-c查看指定的命令正在使用的文件和网络链接

1.  #  lsof  -c syslog-ng

3.  COMMAND    PID USER   FD   TYPE     DEVICE    SIZE       NODE NAME
4.  syslog-ng 7547 root  cwd    DIR 3,3  4096  2  /
5.  syslog-ng 7547 root  rtd    DIR 3,3  4096  2  /
6.  syslog-ng 7547 root  txt    REG 3,3  113524  1064970  /usr/sbin/syslog-ng
7.  -- snipped --

使用-p查看指定进程ID已打开的内容

1.  #  lsof  -p 10075

3.  -- snipped --
4.  sshd  10068 root  mem    REG 3,3  34808  850407  /lib/libnss_files-2.4.so
5.  sshd  10068 root  mem    REG 3,3  34924  850409  /lib/libnss_nis-2.4.so
6.  sshd  10068 root  mem    REG 3,3  26596  850405  /lib/libnss_compat-2.4.so
7.  sshd  10068 root  mem    REG 3,3  200152  509940  /usr/lib/libssl.so.0.9.7
8.  sshd  10068 root  mem    REG 3,3  46216  510014  /usr/lib/liblber-2.3
9.  sshd  10068 root  mem    REG 3,3  59868  850413  /lib/libresolv-2.4.so
10.  sshd  10068 root  mem    REG 3,3  1197180  850396  /lib/libc-2.4.so
11.  sshd  10068 root  mem    REG 3,3  22168  850398  /lib/libcrypt-2.4.so
12.  sshd  10068 root  mem    REG 3,3  72784  850404  /lib/libnsl-2.4.so
13.  sshd  10068 root  mem    REG 3,3  70632  850417  /lib/libz.so.1.2.3
14.  sshd  10068 root  mem    REG 3,3  9992  850416  /lib/libutil-2.4.so
15.  -- snipped --

-t选项只返回PID

1.  #  lsof  -t -c Mail

3.  350

文件和目录

经过查看指定文件或目录，你能够看到系统上全部正与其交互的资源——包括用户、进程等。

显示与指定目录交互的全部一切

1.  #  lsof  /var/log/messages/

3.  COMMAND    PID USER   FD   TYPE DEVICE   SIZE   NODE NAME
4.  syslog-ng 7547 root 4w REG 3,3  217309  834024  /var/log/messages

显示与指定文件交互的全部一切

1.  #  lsof  /home/daniel/firewall_whitelist.txt

高级用法

与tcpdump相似，当你开始组合查询时，它就显示了它强大的功能。

显示daniel链接到1.1.1.1所作的一切

1.  #  lsof  -u daniel -i @1.1.1.1

3.  bkdr 1893 daniel 3u  IPv6  3456 TCP 10.10.1.10:1234->1.1.1.1:31337  (ESTABLISHED)

同时使用-t和-c选项以给进程发送 HUP 信号

1.  #  kill  -HUP `lsof -t -c sshd`

lsof +L1显示全部打开的连接数小于1的文件

这一般（当不老是）表示某个***者正尝试经过删除文件入口来隐藏文件内容。

1.  #  lsof  +L1

3.  (hopefully nothing)

显示某个端口范围的打开的链接

1.  #  lsof  -i @fw.google.com:2150=2180

结尾

本入门教程只是管窥了lsof功能的一斑，要查看完整参考，运行man lsof命令或查看在线版本。但愿本文对你有所助益，也随时欢迎你的评论和指正。

资源

• lsof手册页：http://www.netadmintools.com/html/lsof.man.html

本文由 Daniel Miessler撰写，首次在他博客上贴出

通常root用户才能执行lsof命令，普通用户能够看见/usr/sbin/lsof命令，
可是普通用户执行会显示“permission denied”

我总结一下lsof指令的用法：

lsof abc.txt 显示开启文件abc.txt的进程

lsof -i :22 知道22端口如今运行什么程序

lsof -c abc 显示abc进程如今打开的文件

lsof -g gid 显示归属gid的进程状况

lsof +d /usr/local/ 显示目录下被进程开启的文件

lsof +D /usr/local/ 同上，可是会搜索目录下的目录，时间较长

lsof -d 4 显示使用fd为4的进程  www.2cto.com

lsof -i 用以显示符合条件的进程状况

语法: lsof -i[46] [protocol][@hostname|hostaddr][:service|port]

46 --> IPv4 or IPv6

protocol --> TCP or UDP

hostname --> Internet host name

hostaddr --> IPv4位置

service --> /etc/service中的 service name (能够不仅一个)

port --> 端口号 (能够不仅一个)

例子: TCP:25 - TCP and port 25

@1.2.3.4 - Internet IPv4 host address 1.2.3.4

tcp@ohaha.ks.edu.tw:ftp - TCP protocol hosthaha.ks.edu.tw service name:ftp

lsof -n 不将IP转换为hostname，缺省是不加上-n参数

例子: lsof -i tcp@ohaha.ks.edu.tw:ftp -n

lsof -p 12 看进程号为12的进程打开了哪些文件

lsof +|-r [t] 控制lsof不断重复执行，缺省是15s刷新

-r，lsof会永远不断的执行，直到收到中断信号

+r，lsof会一直执行，直到没有档案被显示

例子：不断查看目前ftp链接的状况：lsof -i tcp@ohaha.ks.edu.tw:ftp -r

lsof -s 列出打开文件的大小，若是没有大小，则留下空白

lsof -u username 以UID，列出打开的文件  www.2cto.com

关注：
进程调试命令:truss、strace和ltrace
进程没法启动，软件运行速度忽然变慢，程序的"SegmentFault"等等都是让每一个Unix系统用户头痛的问题，而这些问题均可以经过使用truss、strace和ltrace这三个经常使用的调试工具来快速诊断软件的"疑难杂症"。

做者：西华子连接：https://www.jianshu.com/p/a3aa6b01b2e1来源：简书著做权归做者全部。商业转载请联系做者得到受权，非商业转载请注明出处。