菜鸟学Linux命令:lsof命令 查找指定用户、进程、端口打开的文件

lsof，list open files，

是一个列出当前系统打开文件的工具。在linux环境下，任何事物都以文件的形式存在，通过文件不仅仅可以访问常规数据，还可以访问网络连接和硬件。

命令格式：

lsof [参数][文件]

命令功能： 

用于查看进程打开的文件，打开文件的进程，进程打开的端口(tcp、udp)。

lsof 需要访问核心内存和各种文件，所以通常需要root用户执行。

命令参数：

-a 列出打开文件存在的进程

-c<进程名> 列出指定进程所打开的文件

-g 列出gid号进程详情

-d<文件号> 列出占用该文件号的进程

+d<目录> 列出目录下被打开的文件

+d<目录> 递归列出目录下被打开的文件，可以递归查看某个目录的文件信息

-n<目录> 列出使用nfs的文件

-i<条件> 列出符合条件的进程。（4、6、协议、:端口、 @ip ）

-p<进程号> 列出指定进程号所打开的文件

-u username 查看用户打开哪些文件

-h 显示帮助信息

-v 显示版本信息

lsof +|-r [t] 控制lsof不断重复执行，缺省是15s刷新

-r，lsof会永远不断的执行，直到收到中断信号

+r，lsof会一直执行，直到没有档案被显示

例：查看目前ftp连接的情况，每隔3秒不断执行：lsof -i [email protected]:ftp -r 3

使用实例：

1.直接使用lsof 不加任何参数

bingyue@ubuntu:/$ sudo lsof | head -30

command：进程的名称

pid：进程标识符

ppid：父进程标识符（需要指定-r参数）

user：进程所有者

pgid：进程所属组

fd：文件描述符，应用程序通过文件描述符识别该文件。如cwd、txt等

（1）cwd：表示current work dirctory，即：应用程序的当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改

（2）txt ：该类型的文件是程序代码，如应用程序二进制文件本身或共享库，如上列表中显示的 /sbin/init 程序

（3）lnn：library references (aix);

（4）er：fd information error (see name column);

（5）jld：jail directory (freebsd);

（6）ltx：shared library text (code and data);

（7）mxx ：hex memory-mapped type number xx.

（8）m86：dos merge mapped file;

（9）mem：memory-mapped file;

（10）mmap：memory-mapped device;

（11）pd：parent directory;

（12）rtd：root directory;

（13）tr：kernel trace file (openbsd);

（14）v86 vp/ix mapped file;

（15）0：表示标准输出

（16）1：表示标准输入

（17）2：表示标准错误

一般在标准输出、标准错误、标准输入后还跟着文件状态模式：r、w、u等

（1）u：表示该文件被打开并处于读取/写入模式

（2）r：表示该文件被打开并处于只读模式

（3）w：表示该文件被打开并处于

（4）空格：表示该文件的状态模式为unknow，且没有锁定

（5）-：表示该文件的状态模式为unknow，且被锁定

同时在文件状态模式后面，还跟着相关的锁

（1）n：for a solaris nfs lock of unknown type;

（2）r：for read lock on part of the file;

（3）r：for a read lock on the entire file;

（4）w：for a write lock on part of the file;（文件的部分写锁）

（5）w：for a write lock on the entire file;（整个文件的写锁）

（6）u：for a read and write lock of any length;

（7）u：for a lock of unknown type;

（8）x：for an sco openserver xenix lock on part of the file;

（9）x：for an sco openserver xenix lock on the entire file;

（10）space：if there is no lock.

type：文件类型，如dir、reg等，常见的文件类型

（1）dir：表示目录

（2）chr：表示字符类型

（3）blk：块设备类型

（4）unix： unix 域套接字

（5）fifo：先进先出 (fifo) 队列

（6）ipv4：网际协议 (ip) 套接字

device：指定磁盘的名称

size：文件的大小

node：索引节点（文件在磁盘上的标识）

name：打开文件的确切名称

2.查看谁正在使用某个文件

lsof /bin/bash

列表信息会显示user，所以可以通过这个命令查看谁在使用当前的目录

3.lsof abc.txt 显示开启文件abc.txt的进程

lsof 目录名 查找谁在使用文件目录系统

lsof -i :22 知道22端口被哪个进程占用

lsof -c abc 显示abc进程现在打开的文件

lsof -g gid 显示归属gid的进程情况

lsof -n 不将ip转换为hostname，缺省是不加上-n参数

lsof -p 12 看进程号为12的进程打开了哪些文件

lsof -u username 查看用户打开哪些文件

lsof -i @192.168.106.128 查看远程已打开的网络连接（连接到192.168.106.128）