lsof命令介绍

lsof命令简介

lsof(list open files)是一个列出当前系统打开文件的工具。在linux环境下，任何事物都以文件的形式存在，通过文件不仅仅可以访问常规数据，还可以访问网络连接和硬件。所以如传输控制协议 (TCP) 和用户数据报协议 (UDP) 套接字等，系统在后台都为该应用程序分配了一个文件描述符，无论这个文件的本质如何，该文件描述符为应用程序与基础操作系统之间的交互提供了通用接口。因为应用程序打开文件的描述符列表提供了大量关于这个应用程序本身的信息，因此通过lsof工具能够查看这个列表对系统监测以及排错将是很有帮助的。
在终端下输入lsof即可显示系统打开的文件，因为 lsof 需要访问核心内存和各种文件，所以必须以 root 用户的身份运行它才能够充分地发挥其功能。直接输入lsof部分输出如下:

COMMAND  PID  USER   FD  TYPE  DEVICE  SIZE/OFF    NODE NAME
bash    2811  devl  cwd   DIR   253,1      4096   81927 /home/devl
bash    2811  devl  rtd   DIR   253,1      4096       2 /
bash    2811  devl  txt   REG   253,1    964608  327823 /usr/bin/bash
bash    2811  devl  mem   REG   253,1   2151672  328342 /usr/lib64/libc-2.17.so
bash    2811  devl  mem   REG   253,1     19288  328814 /usr/lib64/libdl-2.17.so
bash    2811  devl  mem   REG   253,1    174576  328674 /usr/lib64/libtinfo.so.5.9
bash    2811  devl  mem   REG   253,1    163400  328378 /usr/lib64/ld-2.17.so
bash    2811  devl    0u  CHR   136,0       0t0       3 /dev/pts/0
bash    2811  devl    1u  CHR   136,0       0t0       3 /dev/pts/0
bash    2811  devl    2u  CHR   136,0       0t0       3 /dev/pts/0
bash    2811  devl  255u  CHR   136,0       0t0       3 /dev/pts/0
bash    6931  devl  cwd   DIR   253,1      4096   81927 /home/devl
bash    6931  devl  rtd   DIR   253,1      4096       2 /
bash    6931  devl  txt   REG   253,1    964608  327823 /usr/bin/bash

输出各列信息的意义如下：

1. COMMAND：进程的名称
2. PID：进程标识符
3. USER：进程所有者
4. FD：文件描述符，应用程序通过文件描述符识别该文件，如cwd、txt等
5. TYPE：文件类型，如DIR、REG等
6. DEVICE：指定磁盘的名称
7. SIZE：文件的大小
8. NODE：索引节点（文件在磁盘上的标识）
9. NAME：打开文件的确切名称

FD列中的文件描述符cwd值表示应用程序的当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改，txt类型的文件是程序代码，如应用程序二进制文件本身或共享库

常用命令

lsof filename
查看打开filename文件的所有进程

lsof -p procid
查看进程ID为procid的进程打开的文件列表

lsof -c command
查看进程名称为command的进程打开的文件列表

使用场景举例

同事今天请假了，但负责的webserver服务出现了问题，老板让你看一下webserver服务的日志，但你不知道webserver服务的日志文件路径，配置文件太复杂你不太懂，这时你可以执行以下命令查看日志文件路径。

[devl@xungen ~]$ lsof -c webserver | grep -e 'log$'
webserver  10124  devl  4u  REG 253,1  8814787  109523 /home/devl/application/webserver/log/webserver.00.log

新来的同事误删除了的webserver服务的日志文件，现在线上环境有一个问题，需要查看webserver日志，老板让紧急处理一下，这时你想到lsof命令。是的，你可以执行命令查看日志文件文件句柄，根据句柄得到日志文件在webserver进程中的映射路径(/proc/进程ID/fd/句柄)。

[devl@xungen ~]$ lsof -c webserver | grep -e 'log$'
webserver  10124  devl  4u  REG 253,1  8814787  109523 /home/devl/application/webserver/log/webserver.00.log

命令执行结果显示webserver服务的进程ID为10124，日志文件句柄为4u（即4号句柄），所以/proc/10124/fd/4就是日志文件在webserver进程中的映射路径，这时你用tail命令就可查看日志文件了。

[devl@xungen ~]$ tail -f /proc/10124/fd/4
[20190602 09:51:04|INF] start route ping process success
[20190602 09:51:04|INF] ping host[127.0.0.1:8888][3951] success
[20190602 09:51:09|INF] check session success
[20190602 09:51:09|INF] start route ping process success
[20190602 09:51:09|INF] ping host[127.0.0.1:8888][3596] success
[20190602 09:51:14|INF] start route ping process success
[20190602 09:51:14|INF] ping host[127.0.0.1:8888][3390] success
[20190602 09:51:19|INF] start route ping process success
[20190602 09:51:19|INF] ping host[127.0.0.1:8888][3383] success
[20190602 09:51:19|INF] check session success

当进程打开了某个文件时，只要该进程保持打开该文件，即使将其删除，它依然存在于磁盘中。这意味着，进程并不知道文件已经被删除，它仍然可以向打开该文件时提供给它的文件描述符进行读取和写入。除了该进程之外，这个文件是不可见的，因为已经删除了其相应的目录索引节点。 在/proc 目录下，其中包含了反映内核和进程树的各种文件。/proc目录挂载的是在内存中所映射的一块区域，所以这些文件和目录并不存在于磁盘中，因此当我们对这些文件进行读取和写入时，实际上是在从内存中获取相关信息。大多数与 lsof相关的信息都存储于以进程的 PID 命名的目录中，即 /proc/1234中包含的是 PID为1234的进程的信息。每个进程目录中存在着各种文件，它们可以使得应用程序简单地了解进程的内存空间、文件描述符列表、指向磁盘上的文件的符号链接和其他系统信息。lsof 程序使用该信息和其他关于内核内部状态的信息来产生其输出。所以lsof可以显示进程的文件描述符和相关的文件名等信息。也就是我们通过访问进程的文件描述符可以找到该文件的相关信息。 当系统中的某个文件被意外地删除了，只要这个时候系统中还有进程正在访问该文件，那么我们就可以通过lsof从/proc目录下恢复该文件的内容。