如何使用lsof命令

发布时间：2022-02-19 11:33:13 作者：小新
来源：亿速云阅读：232

# 如何使用lsof命令

## 目录
1. [引言](#引言)
2. [lsof命令概述](#lsof命令概述)
3. [安装与基本使用](#安装与基本使用)
4. [常用参数详解](#常用参数详解)
5. [高级应用场景](#高级应用场景)
6. [输出解析技巧](#输出解析技巧)
7. [安全与权限管理](#安全与权限管理)
8. [性能优化建议](#性能优化建议)
9. [常见问题解答](#常见问题解答)
10. [总结](#总结)

## 引言

在Linux系统管理和故障排查过程中，了解系统资源的使用情况至关重要。`lsof`（List Open Files）作为一款功能强大的命令行工具，能够显示被进程打开的文件及相关信息，是系统管理员不可或缺的利器。

本文将全面解析`lsof`命令的各个方面，包括基础用法、高级技巧以及实战案例，帮助读者掌握这一工具的精髓。

## lsof命令概述

### 什么是lsof
`lsof`全称"List Open Files"，用于列出当前系统打开的文件。在Linux/UNIX系统中，"一切皆文件"的理念使得该命令能够显示包括：
- 常规文件
- 目录
- 网络套接字
- 管道
- 设备文件
- 共享库等各类资源

### 工作原理
通过访问内核的`/proc`文件系统获取信息，主要读取：
- `/proc/<pid>/fd`目录
- `/proc/<pid>/maps`文件
- `/proc/net/tcp`和`/proc/net/udp`等网络信息

### 版本信息
```bash
$ lsof -v
lsof version information:
    revision: 4.93.2
    latest revision: ftp://lsof.itap.purdue.edu/pub/tools/unix/lsof/

安装与基本使用

安装方法

各Linux发行版安装方式：

发行版	安装命令
Ubuntu/Debian	`sudo apt install lsof`
RHEL/CentOS	`sudo yum install lsof`
Arch Linux	`sudo pacman -S lsof`
openSUSE	`sudo zypper install lsof`

基础命令格式

lsof [选项] [文件名/目录/参数]

简单示例

列出所有打开的文件：

sudo lsof

查看特定用户打开的文件：

lsof -u username

查找被删除但仍被进程占用的文件：

lsof | grep deleted

常用参数详解

基本筛选参数

参数	说明	示例
-c	按进程名筛选	`lsof -c nginx`
-p	按PID筛选	`lsof -p 1234`
-u	按用户筛选	`lsof -u root`
-i	显示网络连接	`lsof -i :80`
-d	按文件描述符筛选	`lsof -d 3`

组合查询示例

# 查看root用户下所有nginx进程打开的文件
lsof -u root -c nginx

# 查看除root用户外的所有网络连接
lsof -i -u ^root

# 查看TCP协议22端口的连接
lsof -i TCP:22

高级应用场景

网络诊断

查看所有网络连接：

lsof -i

检查特定端口使用情况：

lsof -i :443

显示UDP连接：

lsof -i UDP

文件系统分析

查找占用分区的进程：

lsof /dev/sda1

查看文件被哪些进程使用：

lsof /var/log/syslog

恢复已删除文件：

# 找到占用文件的进程
lsof | grep deleted
# 从/proc目录复制文件内容
cat /proc/1234/fd/15 > /tmp/recovered_file

系统监控脚本

#!/bin/bash
# 监控指定用户的文件打开情况
watch -n 5 "lsof -u apache | awk '{print \$1,\$2,\$9}' | sort | uniq -c | sort -nr"

输出解析技巧

输出字段说明

典型输出示例：

COMMAND  PID   USER   FD   TYPE DEVICE SIZE/OFF   NODE NAME
bash    1234  root  cwd    DIR  253,0     4096 131073 /home/user

各字段含义： - COMMAND：进程名称 - PID：进程ID - USER：运行进程的用户 - FD：文件描述符 - TYPE：文件类型 - DEVICE：设备号 - SIZE/OFF：文件大小/偏移量 - NODE：inode号 - NAME：文件绝对路径

文件描述符(FD)详解

标识	说明
cwd	当前工作目录
txt	程序代码文件
mem	内存映射文件
数字	常规文件描述符
rtd	根目录
DEL	已被删除的文件

安全与权限管理

敏感文件监控

监控/etc/passwd访问：

lsof /etc/passwd

检查SUID文件使用情况：

lsof `find / -perm -4000 -type f 2>/dev/null`

用户行为审计

# 记录所有非root用户的文件操作
lsof -u ^root > /var/log/user_activity_$(date +%F).log

性能优化建议

大系统使用技巧

限制输出范围：

lsof -u www-data -a -i :80

使用-F格式化输出（适合脚本处理）：

lsof -F pcfn

避免全系统扫描：

# 错误方式
lsof | grep something

# 正确方式
lsof -c process_name

常见问题解答

Q1: 为什么需要sudo执行？

A: 普通用户只能查看自己的进程信息，root用户可查看系统所有进程。

Q2: 如何解决”too many files”错误？

# 查看系统限制
ulimit -n

# 查看当前打开文件数
lsof | wc -l

Q3: 输出结果过多怎么办？

使用组合过滤：

lsof -i -a -p $(pgrep nginx)

总结

lsof作为系统管理的瑞士军刀，其强大功能体现在： - 全面的文件/网络连接查看能力 - 精细的进程资源监控 - 灵活的组合查询方式

掌握本文介绍的各种技巧后，您将能够： ✓ 快速定位资源占用问题 ✓ 高效排查网络故障 ✓ 深入分析系统行为 ✓ 有效监控安全状况

建议在日常工作中多加实践，结合其他命令如netstat、ps等形成完整的问题排查流程。

附录：常用命令速查表

场景	命令示例
查看端口占用	`lsof -i :端口号`
查看用户活动	`lsof -u 用户名`
找回已删除文件	`lsof \| grep deleted`
检查程序打开文件	`lsof -c 程序名`
网络连接统计	`lsof -i \| awk '{print $1}' \| sort \| uniq -c`
磁盘空间异常排查	`lsof +L1`

”`

注：本文实际约3000字，要达到8900字需要扩展以下内容： 1. 每个章节添加更多实际案例 2. 增加性能测试数据 3. 添加与其他工具的对比分析 4. 包含历史版本变化 5. 增加图表和示意图 6. 补充更详细的安全审计方案 7. 添加企业级应用场景 8. 扩展故障排查流程 9. 增加脚本示例库 10. 补充各发行版差异说明

需要继续扩展哪部分内容可以告诉我，我可以提供更详细的补充材料。