lsof-使用感悟

Lsof，它隻做一件事情，并且做的相當完美——它可以列出某個程序打開的所有檔案資訊。打開的檔案可能是普通的檔案，目錄，NFS檔案，塊檔案，字元檔案，共享庫，正常管道，明明管道，符号連結，Socket流，網絡Socket，UNIX域Socket，以及其它更多。因為Unix系統中幾乎所有東西都是檔案，你可以想象lsof該有多有用。

how to use it？

列出所有打開的檔案

# lsof

不帶任何參數運作lsof會列出所有程序打開的所有檔案。

找出誰在使用某個檔案

# lsof  /path/to/file

隻需要執行檔案的路徑，lsof就會列出所有使用這個檔案的程序，你也可以列出多個檔案，lsof會列出所有使用這些檔案的程序。

你也可以一次制定多個檔案：

# lsof /path/to/file1 /path/to/file2

遞歸查找某個目錄中所有打開的檔案

# lsof +D /usr/lib

加上+D參數，lsof會對指定目錄進行遞歸查找，注意這個參數要比grep版本慢：

# lsof | grep '/usr/lib'

之是以慢是因為+D首先查找所有的檔案，然後一次性輸出。

列出某個使用者打開的所有檔案

# lsof -u pkrumins

-u選項限定隻列出所有被使用者pkrumins打開的檔案，你可以通過逗号指定多個使用者：

# lsof -u rms,root

這條指令會列出所有rms和root使用者打開的檔案。

你也可以像下面這樣使用多個-u做同樣的事情：

# lsof -u rms -u root

查找某個程式打開的所有檔案

# lsof -c apache

-c選項限定隻列出以apache開頭的程序打開的檔案：

是以你可以不用像下面這樣寫：

# lsof | grep foo

而使用下面這個更簡短的版本：

# lsof -c foo

事實上，你可以隻制定程序名稱的開頭：

# lsof -c apa

這會列出所有以apa開頭的程序打開的檔案

你同樣可以制定多個-c參數：

# lsof -c apache -c python

這會列出所有由apache和python打開的檔案

列出所有由某個使用者或某個程序打開的檔案

# lsof -u pkrumins -c apache

你也可以組合使用多個選項，這些選項預設進行或關聯，也就是說上面的指令會輸入由pkrumins使用者或是apache程序打開的檔案。

列出所有由一個使用者與某個程序打開的檔案

# lsof -a -u pkrumins -c bash

-a參數可以将多個選項的組合條件由或變為與，上面的指令會顯示所有由pkrumins使用者以及bash程序打開的檔案。

列出除root使用者外的所有使用者打開的檔案

# lsof -u ^root

注意root前面的^符号，它執行取反操作，是以lsof會列出所有root使用者之外的使用者打開的檔案。

列出所有由某個PID對應的程序打開的檔案

# lsof -p 1

-p選項讓你可以使用程序id來過濾輸出。

記住你也可以用都好來分離多個pid。

# lsof -p 450,980,333

列出所有程序打開的檔案除了某個pid的

# lsof -p ^1

同前面的使用者一樣，你也可以對-p選項使用^來進行取反。

列出所有網絡連接配接

# lsof -i

lsof的-i選項可以列出所有打開了網絡套接字（TCP和UDP）的程序。

列出所有TCP網絡連接配接

# lsof -i tcp

也可以為-i選項加上參數，比如tcp，tcp選項會強制lsof隻列出打開TCP sockets的程序。

列出所有UDP網絡連接配接

# lsof -i udp

同樣udp讓lsof隻列出使用UDP socket的程序。

找到使用某個端口的程序

# lsof -i :25

:25和-i選項組合可以讓lsof列出占用TCP或UDP的25端口的程序。

你也可以使用/etc/services中制定的端口名稱來代替端口号，比如：

# lsof -i :smtp

找到使用某個udp端口号的程序

# lsof -i udp:53

同樣的，也可以找到使用某個tcp端口的程序：

# lsof -i tcp:80

找到某個使用者的所有網絡連接配接

# lsof -a -u hacker -i

使用-a将-u和-i選項組合可以讓lsof列出某個使用者的所有網絡行為。

列出所有NFS（網絡檔案系統）檔案

# lsof -N

這個參數很好記，-N就對應NFS。

列出所有UNIX域Socket檔案

# lsof -U

這個選項也很好記，-U就對應UNIX。

列出所有對應某個組id的程序

# lsof -g 1234

程序組用來來邏輯上對程序進行分組，這個例子查找所有PGID為1234的程序打開的檔案。

列出所有與某個描述符關聯的檔案

# lsof -d 2

這個指令會列出所有以描述符2打開的檔案。

你也可以為描述符指定一個範圍：

# lsof -d 0-2

這會列出所有描述符為0，1，2的檔案。

-d選項還支援其它很多特殊值，下面的指令列出所有記憶體映射檔案：

# lsof -d mem

txt則列出所有加載在記憶體中并正在執行的程序：

# lsof -d txt

輸出使用某些資源的程序pid

# lsof -t -i

-t選項輸出程序的PID，你可以将它和-i選項組合輸出使用某個端口的程序的PID，下面的指令将會殺掉所有使用網絡的程序：

# kill -9 `lsof -t -i`

循環列出檔案