Linux命令--查看文件--lsof--使用/教程/示例

妖狐艹你老母 2023-10-01 16:34 13阅读 0赞

原文网址：[Linux命令--查看文件--lsof--使用/教程/示例\_IT利刃出鞘的博客-CSDN博客][Linux_--_--lsof--_IT_-CSDN]

## 简介 ##

**说明**

lsof（list open files）用于查看进程打开的文件，是十分方便的系统监测工具。因为 lsof 命令需要访问核心内存和各种系统文件，所以需要 root 权限才可执行。

在 Linux 系统中，一切皆文件。通过文件不仅仅可以访问常规数据，还可以访问网络连接和硬件。所以 lsof 不仅可以查看进程打开的普通文件、目录，还可以查看进程监听的端口等 socket 相关的信息。进程打开的每一个文件，系统在后台都会为之分配一个文件描述符，无论这个文件的本质如何，该文件描述符为应用程序与基础操作系统之间的交互提供了通用接口。因为应用程序打开文件的描述符列表提供了大量关于这个应用程序本身的信息，因此通过 lsof 工具能够查看这个列表，对系统监测以及排错很有帮助。

lsof 查看的打开文件可以是：

1.  普通文件
2.  目录
3.  字符或块设备文件
4.  共享库
5.  管道、命名管道
6.  符号链接
7.  网络文件（如 NFS file、网络 socket，Unix 域名 socket）
8.  其它类型的文件

**格式**

lsof \[OPTIONS\] \[--\] \[NAMES\]

没有任何选项的情况下，lsof 列出所有属于活动进程的打开文件。

## **选项** ##

<table> 
 <tbody> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> 选项 </td> 
 <td style="vertical-align:top;"> 含义 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -?, -h </td> 
 <td style="vertical-align:top;"> 显示帮助信息 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -a </td> 
 <td style="vertical-align:top;"> 参数被视为逻辑与 AND，会影响全部的参数 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -A A </td> 
 <td style="vertical-align:top;"> 在配置了 AFS 分布式网络文件系统的系统上可用，其 AFS 内核代码是通过动态模块实现的。通过 A 指定备用名称列表文件，在该文件中可以找到动态模块的内核地址 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -b </td> 
 <td style="vertical-align:top;"> 避免 lsof 因调用可能阻塞的内核函数而产生阻塞，比如 lstat(2)、readlink(2) 和 stat(2) 等内核函数 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -c C </td> 
 <td style="vertical-align:top;"> 显示出以字符或字符串 C 开头的命令程序开启的文件，如 lsof -c init。如果 C 以斜杠 / 开头和结尾，则斜杠之间的字符被解释为正则表达式。该选项可多次指定 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +c W </td> 
 <td style="vertical-align:top;"> 指定 COMMAND 列的宽度，单位字符。默认为 9 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -C </td> 
 <td style="vertical-align:top;"> 禁用从内核的名称缓存中报告任何路径名 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -D D </td> 
 <td style="vertical-align:top;"> 指导 lsof 使用设备缓存文件。该选项的使用有时受到限制。-D 必须后面跟着一个函数字母，函数字母后面可以有一个路径名称。lsof 识别以下功能字母： ?&nbsp;报告设备缓存文件路径 b构建设备缓存文件 i忽略设备缓存文件 r读取设备缓存文件 u读取并更新设备缓存文件 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +D D </td> 
 <td style="vertical-align:top;"> 递归搜索目录 D。如显示在 /usr/local 及其子目录下被程序开启的文件：lsof +D /usr/local </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +d D </td> 
 <td style="vertical-align:top;"> &nbsp;非递归搜索目录 D。如显示在 /usr/local 下被程序开启的文件：lsof +d /usr/local </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -d FD </td> 
 <td style="vertical-align:top;"> 指定文件描述符列表，可以采用逗号分隔，也可以指定范围。比如 1,2,3 或 1-3。如果前面包含尖号，表示排除。如显示 FD 为 4 的进程：lsof -d 4 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +|-e S </td> 
 <td style="vertical-align:top;"> 豁免（exempt）路径名称为 S 的文件系统不受可能阻塞的内核函数调用的影响。+e 选项豁免 stat(2)、lstat(2) 和大多数 readlink(2) 内核函数调用。-e 选项只能豁免 stat(2) 和 lstat(2) 内核函数调用 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +|-E </td> 
 <td style="vertical-align:top;"> +E 指定使用端点信息显示 Linux 管道、Linux UNIX 套接字和 Linux 伪终端文件，并显示端点的文件。-E 则不显示端点的文件 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -F LIST </td> 
 <td style="vertical-align:top;"> 指定字符列表 LIST，选择输出给另一程序处理的字段，各字段对应的字符见下文 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +|-f [cfgGn] </td> 
 <td style="vertical-align:top;"> f 本身澄清了路径名参数的解释方式。当后面跟着 c、f、g、G 或 n 时，它指定要启用（+）或抑制（-）内核文件结构信息。 c 文件结构使用计数（not Linux） f 文件结构地址（not Linux） g 文件标志缩写（Linux 2.6.22 及更高版本） G 十六进制文件标志（Linux 2.6.22 及更高版本） n 文件结构节点地址（not Linux） </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -g [PGID] </td> 
 <td style="vertical-align:top;"> 选择或排除属于指定进程组的进程打开的文件。 进程组 ID 使用逗号分隔，如果 PGID 前面包含尖号，表示排除。若没有指定 PGID，则显示全部。如显示 PGID 为 6 和 7 的进程：lsof -g6,7 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -i [I] </td> 
 <td style="vertical-align:top;"> 选择其 Internet 地址与 -i 中指定的地址匹配的文件，若没有相关地址被指定，则监听全部。 用法： lsof -i [46][protocol][@hostname|hostaddr][:serivce|port] 说明：4 6 分别表示 IPv4 和 IPv6 &nbsp;&nbsp; protocol： TCP or UDP &nbsp;&nbsp; hostname：主机名 hostaddr：IPv4 或 IPv6 地址 service：主机提供的服务的名称，即 /etc/services 中的 service name port：端口号 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -K </td> 
 <td style="vertical-align:top;"> 在支持任务（线程）报告方式的系统上输出进程的任务（线程）列表 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -k K </td> 
 <td style="vertical-align:top;"> 指定内核名称列表文件，代替 /vmunix、/mach 等 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -l </td> 
 <td style="vertical-align:top;"> 禁止将 user ID 转换为登录的名称，默认是登录名称 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +|-L [L] </td> 
 <td style="vertical-align:top;"> + 或 - 表示开启或关闭显示文件连接数，如果只有单纯的 +L，后面没有任何数字，则表示显示全部，如果后面有数字，只有文件连接数少于该数字的会被列出 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +|-m M </td> 
 <td style="vertical-align:top;"> -m 指定一个内核内存文件 M ，代替 /dev/kmem 或 /dev/mem。+m 将装载补充文件写入标准输出文件 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +|-M </td> 
 <td style="vertical-align:top;"> 启用或禁用报告本地 TCP、UDP 和 UDPLITE 端口的端口映射器注册 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -n </td> 
 <td style="vertical-align:top;"> 不将 IP 地址转换为主机名 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -N </td> 
 <td style="vertical-align:top;"> 显示 NFS 文件 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -o </td> 
 <td style="vertical-align:top;"> 始终显示文件偏移量。它导致 SIZE/OFF 输出列标题更改为 OFFSET </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -o O </td> 
 <td style="vertical-align:top;"> 指定在文件偏移量的 0t 之后要打印的小数位数 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -O </td> 
 <td style="vertical-align:top;"> 指示 lsof 避免被某些内核操作阻塞。即在分叉的子进程中执行它们。虽然使用此选项将减少 lsof 启动开销，但也可能导致 lsof 在内核不响应函数时挂起。谨慎使用此选项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -P </td> 
 <td style="vertical-align:top;"> 禁止将网络文件的端口号转换为端口名 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -p S </td> 
 <td style="vertical-align:top;"> 排除或选择进程的文件列表，进程 ID 列表使用逗号分隔，如 123 或 123,^456。尖号表示排除指定 PID </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -R </td> 
 <td style="vertical-align:top;"> 使用列 PPID 列出父进程的 PID </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +|-r [T[mFMT]] </td> 
 <td style="vertical-align:top;"> 控制 lsof 不断重复执行，间隔 T 秒，默认为 15s。-r 永远不断地执行，直到收到中断讯号（ctrl+ c），+r 一直执行，直到没有文件被显示。可选的 mFMT 参数指定标记线的格式，格式 FMT 遵循 C 语言标准库函数 strftime(3) 的规范 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -S [T] </td> 
 <td style="vertical-align:top;"> 指定内核函数 lstat(2)、readlink(2) 和 stat(2) 的可选超时秒值，否则可能会死锁。t 的最小值是 2；默认值是 15 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -s [P:S] </td> 
 <td style="vertical-align:top;"> 列出文件的大小，若该文件没有大小，则留下空白。它导致 SIZE/OFF 输出列标题更改为 SIZE。P 表示协议名称 TCP &nbsp;or &nbsp;UDP，S 表示逗号分隔的协议状态 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -T [T] </td> 
 <td style="vertical-align:top;"> -T 没有参数则禁用 TCP/TPI 信息报告。跟如下参数，则显示指定 TCP/TPI 信息： f 选择报告套接字选项，状态和值，以及 TCP标志和值 q 选择队列长度 s 选择连接状态 w 选择窗口大小 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -t </td> 
 <td style="vertical-align:top;"> 生成只有进程标识符而没有标题的简洁输出，这样输出可以通过管道传递给 kill(1) 杀死 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -U </td> 
 <td style="vertical-align:top;"> 选择 UNIX 域套接字文件的列表 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -u USERS </td> 
 <td style="vertical-align:top;"> 选择登录名或用户 ID 位于逗号分隔集 USERS 中的用户的文件列表。如 root 或 548,root”，如果用户名或用户 ID 前有尖号 ^，表示排除 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -V </td> 
 <td style="vertical-align:top;"> 指示被要求列出但找不到的项 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -v </td> 
 <td style="vertical-align:top;"> 显示版本信息 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> +|-w </td> 
 <td style="vertical-align:top;"> 启用（＋）或禁用（－）警告消息 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -X </td> 
 <td style="vertical-align:top;"> Linux 下跳过所有打开的 TCP、UDP 和 UDPLITE IPv4 和 IPv6 文件的信息报告 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -x [fl] </td> 
 <td style="vertical-align:top;"> 一般与选项 +d 和 +D 选项，指示搜索时是否跨文件系统和符号链接。-x 不跟任何参数时，表示跨文件系统和符号链接 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -Z [Z] </td> 
 <td style="vertical-align:top;"> 指定如何处理 SELinux 安全上下文。当在运行的 Linux 内核中禁用SELinux时，Z 字段将被抑制输出。-Z 选项不跟参数，如 -Z -，安全上下文将列在 SECURITY-CONTEXT 列中输出 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> -- </td> 
 <td style="vertical-align:top;"> 双减号表示选项结束 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> NAMES </td> 
 <td style="vertical-align:top;"> 列出指定文件，符号链接在使用前将被解析 </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> </td> 
 <td style="vertical-align:top;"> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> </td> 
 <td style="vertical-align:top;"> </td> 
 </tr> 
 <tr> 
 <td style="vertical-align:top;width:85pt;"> </td> 
 <td style="vertical-align:top;"> </td> 
 </tr> 
 </tbody> 
</table>

## 结果含义 ##

**无任何参数**

命令：lsof

结果：

lsof | head
    COMMAND     PID   TID USER   FD      TYPE             DEVICE SIZE/OFF       NODE NAME
    systemd       1       root  cwd       DIR              252,1     4096          2 /
    systemd       1       root  rtd       DIR              252,1     4096          2 /
    systemd       1       root  txt       REG              252,1  1616248      47908 /usr/lib/systemd/systemd
    systemd       1       root  mem       REG              252,1    20032      25897 /usr/lib64/libuuid.so.1.3.0
    systemd       1       root  mem       REG              252,1   252704      25043 /usr/lib64/libblkid.so.1.1.0
    systemd       1       root  mem       REG              252,1    90632      25988 /usr/lib64/libz.so.1.2.7
    systemd       1       root  mem       REG              252,1   153192      25496 /usr/lib64/liblzma.so.5.0.99
    systemd       1       root  mem       REG              252,1    23968      25065 /usr/lib64/libcap-ng.so.0.0.0
    systemd       1       root  mem       REG              252,1    19888      25018 /usr/lib64/libattr.so.1.1.0

COMMAND：进程的名称  
PID：进程标识符  
TID：任务 ID。Linux 下 TID 为空表示该行为进程  
USER：进程所有者  
FD：文件描述符。主要有：  
cwd：应用程序当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改  
txt：该类型的文件是程序代码，如应用程序二进制文件本身或共享库，如上列表中显示的 /sbin/init 程序  
lnn：库引用（AIX）  
err：FD 信息错误  
jld：监狱目录（FreeBSD）  
ltx：共享库文本（代码和数据）  
mxx：十六进制内存映射类型号 xx  
m86：DOS合并映射文件  
mem：内存映射文件  
mmap：内存映射设备  
pd：父目录  
rtd：根目录  
tr：内核跟踪文件（OpenBSD）  
v86：VP/ix 映射文件  
0：标准输出  
1：标准输入  
2：标准错误  
  
文件描述符后一般还跟着文件状态模式：  
r：只读模式  
w：写入模式  
u：读写模式  
空格：文件的状态模式为 unknow，且没有锁定  
\-：文件的状态模式为 unknow，且被锁定  
  
同时在文件状态模式后面，还跟着相关的锁：  
N：对于未知类型的 Solaris NFS 锁  
r：文件部分的读锁  
R：整个文件的读锁  
w：文件的部分写锁  
W：整个文件的写锁  
u：任何长度的读写锁  
U：用于未知类型的锁  
x：用于部分文件上的 SCO OpenServer Xenix 锁  
X：用于整个文件上的 SCO OpenServer Xenix 锁  
space：无锁

TYPE：文件类型。常见的文件类型有：

REG：普通文件  
DIR：表示目录  
CHR：表示字符类型  
BLK：块设备类型  
UNIX：UNIX 域套接字  
FIFO：先进先出队列  
IPv4：IPv4 套接字

DEVICE：磁盘名称  
SIZE：文件的大小或文件偏移量（以字节为单位）  
NODE：索引节点  
NAME：打开文件的确切名称

## 实例大全 ##

**实例1：无任何参数**

命令：lsof

**实例2：查看谁正在使用某个文件，也就是说查找某个文件相关的进程**

命令：lsof /bin/bash

输出：

\[root@localhost ~\]\# lsof /bin/bash  
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME  
bash 24159 root txt REG 8,2 801528 5368780 /bin/bash  
bash 24909 root txt REG 8,2 801528 5368780 /bin/bash  
bash 24941 root txt REG 8,2 801528 5368780 /bin/bash  
\[root@localhost ~\]\#

**实例3：递归查看某个目录的文件信息**

命令：lsof test/test3

输出：

\[root@localhost ~\]\# cd /opt/soft/  
\[root@localhost soft\]\# lsof test/test3  
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME  
bash 24941 root cwd DIR 8,2 4096 2258872 test/test3  
vi 24976 root cwd DIR 8,2 4096 2258872 test/test3  
\[root@localhost soft\]\#  
说明：

使用了+D，对应目录下的所有子目录和文件都会被列出

**实例4：不使用+D选项，遍历查看某个目录的所有文件信息的方法**

命令：lsof |grep 'test/test3'

输出：

\[root@localhost soft\]\# lsof |grep 'test/test3'  
bash 24941 root cwd DIR 8,2 4096 2258872 /opt/soft/test/test3  
vi 24976 root cwd DIR 8,2 4096 2258872 /opt/soft/test/test3  
vi 24976 root 4u REG 8,2 12288 2258882 /opt/soft/test/test3/.log2013.log.swp  
\[root@localhost soft\]\#

**实例5：列出某个用户打开的文件信息**

命令：lsof -u username

说明: -u 选项，u其实是user的缩写

**实例6：列出某个程序进程所打开的文件信息**

命令：lsof -c mysql

说明:-c 选项将会列出所有以mysql这个进程开头的程序的文件，其实你也可以写成 lsof | grep mysql, 但是第一种方法明显比第二种方法要少打几个字符了

**实例7：列出多个进程多个打开的文件信息**

命令：lsof -c mysql -c apache

**实例8：列出某个用户以及某个进程所打开的文件信息**

命令：lsof -u test -c mysql

说明：用户与进程可相关，也可以不相关

**实例9：列出除了某个用户外的被打开的文件信息**

命令：lsof -u ^root

说明：^这个符号在用户名之前，将会把是root用户打开的进程不让显示

**实例10：通过某个进程号显示该进行打开的文件**

命令：lsof -p 1

**实例11：列出多个进程号对应的文件信息**

命令：lsof -p 1,2,3

**实例12：列出除了某个进程号，其他进程号所打开的文件信息**

命令：lsof -p ^1

**实例13：列出所有的网络连接**

命令：lsof -i

**实例14：列出所有tcp 网络连接信息**

命令：lsof -i tcp

**实例15：列出所有udp网络连接信息**

命令：lsof -i udp

**实例16：列出谁在使用某个端口**

命令：lsof -i :3306

**实例17：列出谁在使用某个特定的udp端口**

命令：lsof -i udp:55

或者：特定的tcp端口

命令：lsof -i tcp:80

**实例18：列出某个用户的所有活跃的网络端口**

命令：lsof -a -u test -i

**实例19：列出所有网络文件系统**

命令：lsof -N

**实例20：域名socket文件**

命令：lsof -u

**实例21：某个用户组所打开的文件信息**

命令：lsof -g 5555

**实例22：根据文件描述列出对应的文件信息**

命令：lsof -d description(like 2)

例如：lsof -d txt

例如：lsof -d 1

例如：lsof -d 2

说明：0表示标准输入，1表示标准输出，2表示标准错误，从而可知：所以大多数应用程序所打开的文件的 FD 都是从 3 开始

**实例23：根据文件描述范围列出文件信息**

命令：lsof -d 2-3

**实例24：列出COMMAND列中包含字符串" sshd"，且文件描符的类型为txt的文件信息**

命令：lsof -c sshd -a -d txt

输出：

\[root@localhost soft\]\# lsof -c sshd -a -d txt  
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME  
sshd 2756 root txt REG 8,2 409488 1027867 /usr/sbin/sshd  
sshd 24155 root txt REG 8,2 409488 1027867 /usr/sbin/sshd  
sshd 24905 root txt REG 8,2 409488 1027867 /usr/sbin/sshd  
sshd 24937 root txt REG 8,2 409488 1027867 /usr/sbin/sshd  
\[root@localhost soft\]\#

**实例25：列出被进程号为1234的进程所打开的所有IPV4 network files**

命令：lsof -i 4 -a -p 1234

**实例26：列出目前连接主机peida.linux上端口为：20，21，22，25，53，80相关的所有文件信息，且每隔3秒不断的执行lsof指令**

命令：lsof -i @peida.linux:20,21,22,25,53,80 -r 3

## **其他网址** ##

[Linux lsof命令详解和使用示例（总结的比较详细）\_huangyimo的专栏-CSDN博客][Linux lsof_huangyimo_-CSDN]  
[Linux 命令（124）—— lsof 命令\_Dablelv的博客专栏-CSDN博客\_linux124][Linux _124_ lsof _Dablelv_-CSDN_linux124]

[Linux_--_--lsof--_IT_-CSDN]: https://knife.blog.csdn.net/article/details/122702450
[Linux lsof_huangyimo_-CSDN]: https://blog.csdn.net/huangyimo/article/details/80104271
[Linux _124_ lsof _Dablelv_-CSDN_linux124]: https://blog.csdn.net/K346K346/article/details/104235400