Linux-lsof

1. lsof简介
2. 输出列
2.1 FD 文件描述符
2.2 Type 文件类型
3. 常用选项
4. 示例
4.1 manpage-Examples
5. 特别用法
5.1 恢复删除的文件
5.2 杀死某个特定用户的所有活动
5.3 找回被删除文件占用的空间

1. lsof简介

lsof（list open files）列出当前系统打开的文件。
进程打开的文件；打开文件的进程；进程打开的端口(TCP,UDP)；等...
由于Linux系统一切皆文件，所以lsof打开的文件可以是：
a regular file, 常规文件
a directory, 目录
a block special file, 块特殊文件
a character special file, 字符特殊文件
an executing text reference, 执行文本参考，
a library, 库文件
a stream or a network file (Internet socket, NFS file or UNIX domain socket.)  流或网络文件(网络socket，NFS文件, UNIX域socket)
A specific file or all the files  in  a  file system may be selected by path.

可用选项: $ lsof -h
详细说明: $ man lsof

2. 输出列

Lsof每次运行时动态调整输出列的大小,保证每列的最小大小。它还保证每列与其前一列至少隔开一个空格。

Lsof不会为每个进程或文件集生成所有字段,只会生成可用的字段。某些字段是互斥的:

• 文件设备字符和文件主要/次要设备号;
• 文件inode编号和协议名称;
• 文件名和流识别;
• 文件大小和偏移量。(-s/-o)

这些互斥集合中的一个或另一个成员将出现在字段输出中,但不会出现在两者中。

$ lsof |less
COMMAND 命令名(默认长度为9，+c w可设置长度，arch linux最大15);
PID 进程ID(-p 指定PID);
TID 线程ID;
TASKCMD 任务名(-K?);

PPID 父进程号（仅在使用-R时显示）
PGID 与进程关联的进程组号（仅在使用-g时显示）

USER 用户(-u 指定用户);
FD 文件描述符 (详见下表)(-d 排除或包含FD字段);
TYPE 与文件关联的节点的类型 (详见下表);

当n被指定为+f时,NODE-ID(或某些方言的INODE-ADDR)包含文件节点的唯一标识符(通常是内核vnode或inode地址,但有时也是设备和节点号的串联);

DEVICE 指定磁盘的名称;
SIZE/OFF 文件的大小/偏移量(-s/-o);
NLINK 包含指定+L时的文件链接计数;
NODE 索引节点（文件在磁盘上的标识）;
NAME 打开文件的确切名称;

2.1 FD 文件描述符

FD	FD是文件的文件描述符编号或:		wc -l
cwd	current working directory;	当前工作目录	381
txt	program text (code and data);	程序文件或共享库	381
rtd	root directory;	root目录	381
mem	memory-mapped file;	内存映射文件;	36728
mmap	memory-mapped device;	内存映射设备;
Lnn	library references (AIX);	库引用（AIX）;
jld	jail directory (FreeBSD);	jail目录（FreeBSD）;
ltx	shared library text (code and data);	共享库文本（代码和数据）;
Mxx	hex memory-mapped type number xx.	十六进制内存映射类型号xx。
m86	DOS Merge mapped file;	DOS合并映射文件;
err	information error (see NAME column);	错误的FD信息错误;
pd	parent directory;	父目录;
tr	kernel trace file (OpenBSD);	内核跟踪文件(OpenBSD);
v86	VP/ix mapped file;	VP/ix映射文件;
DEL			3743
Mode	FD后跟其中一个字符,描述文件打开的模式:
u	u for read and write access;	文件处于读取/写入模式	128:5678
r	r for read access;	文件处于只读模式	78:2924
w	w for write access;	文件处于写入模式	92:2633
' ‘	space if mode unknown and no lock	未知模式,且未锁定
-	’-’ if mode unknown and lock	未知模式,并锁定
Lock	模式字符后跟一个锁定字符,描述应用于文件的锁定类型:
N	N for a Solaris NFS lock of unknown type;	未知类型的Solaris NFS锁;
r	r for read lock on part of the file;	r用于部分文件的读锁定;
R	R for a read lock on the entire file;	R表示整个文件的读锁定;
w	w for a write lock on part of the file;	w对文件的一部分进行写锁定;
W	W for a write lock on the entire file;	W表示整个文件的写锁定;
u	u for a read and write lock of any length;	u表示任何长度的读写锁;
U	U for a lock of unknown type;	U表示未知类型的锁;
x	x for an SCO OpenServer Xenix lock on part of the file;	部分文件的SCO OpenServer Xenix锁;
X	X for an SCO OpenServer Xenix lock on the entire file;	整个文件的SCO OpenServer Xenix锁;
' ‘	space if there is no lock.	空格, 没有锁。

2.2 Type 文件类型

TYPE	is the type of the node associated with the file	TYPE是与文件关联的节点的类型	wc-l
BLK	for a block special file	用于块特殊文件	1
CHR	for a character special file	用于字符特殊文件	780
DIR	for a directory	用于目录	770
REG	for a regular file	用于常规文件	46350
FIFO	for a FIFO special file	用于FIFO特殊文件	903
IPv4	for an IPv4 socket	用于IPv4套接字	7
IPv6	for an open IPv6 network file - even if its address is IPv4, mapped in an IPv6 address	用于开放的IPv6网络文件 - 即使其地址是IPv4,也映射在IPv6地址中	22
sock	for a socket of unknown domain	用于未知域的套接字	217
unix	for a UNIX domain socket	unix套接字的	2925
a_inode			1384
netlink			134
unknown			72
DEL	for a Linux map file that has been deleted	已删除的Linux映射文件的
LINK	for a symbolic link file	用于符号链接文件
MPB	for a multiplexed block file	用于多路复用块文件
MPC	for a multiplexed character file	用于多路复用字符文件
ax25	for a Linux AX.25 socket	用于Linux AX.25套接字
inet	for an Internet domain socket	用于Internet域套接字
lla	for a HP-UX link level access file	用于HP-UX链路级访问文件
rte	for an AF_ROUTE socket	用于AF_ROUTE套接字
x.25	for an HP-UX x.25 socket	用于HP-UX x.25套接字
DOOR	for a VDOOR file	VDOOR文件的
KQUEUE	for a BSD style kernel event queue file	用于BSD样式的内核事件队列文件
NOFD	for a Linux /proc/<PID>/fd directory that can't be opened -- the directory path appears in the NAME column, followed by an error message	对于无法打开的Linux/proc/<PID>/fd目录的“NOFD - 目录路径出现在NAME列中,后跟一条错误消息
PAS	for a /proc/as file	用于/proc/as文件
PAXV	for a /proc/auxv file	用于/proc/auxv文件
PCRE	for a /proc/cred file	用于/proc/cred文件
PCTL	for a /proc control file	用于/proc控制文件
PCUR	for the current /proc process	用于当前/proc过程
PCWD	for a /proc current working directory	用于/proc当前工作目录
PDIR	for a /proc directory	作为/proc目录
PETY	for a /proc executable type (etype)	用于/proc可执行类型(etype)
PFD	for a /proc file descriptor	用于/proc文件描述符
PFDR	for a /proc file descriptor directory	用于/proc文件描述符目录
PFIL	for an executable /proc file	表示可执行文件/proc文件
PFPR	for a /proc FP register set	用于/proc FP寄存器组
PGD	for a /proc/pagedata file	用于/proc/pagedata文件
PGID	for a /proc group notifier file	用于/proc组通知程序文件
PIPE	for pipes	管道
PLC	for a /proc/lwpctl file	表示/proc/lwpctl文件
PLDR	for a /proc/lpw directory	用于/proc/lpw目录
PLDT	for a /proc/ldt file	用于/proc/ldt文件
PLPI	for a /proc/lpsinfo file	用于/proc/lpsinfo文件的
PLST	for a /proc/lstatus file	用于/proc/lstatus文件
PLU	for a /proc/lusage file	用于/proc/lusage文件
PLWG	for a /proc/gwindows file	用于/proc/gwindows文件
PLWI	for a /proc/lwpsinfo file	用于/proc/lwpsinfo文件
PLWS	for a /proc/lwpstatus file	用于/proc/lwpstatus文件
PLWU	for a /proc/lwpusage file	用于/proc/lwpusage文件
PLWX	for a /proc/xregs file	用于/proc/xregs文件
PMAP	for a /proc map file (map)	用于/proc映射文件(map)
PMEM	for a /proc memory image file	用于/proc内存映像文件
PNTF	for a /proc process notifier file	用于/proc进程通知程序文件
POBJ	for a /proc/object file	用于/proc/object文件
PODR	for a /proc/object directory	用于/proc/object目录
POLP	for an old format /proc light weight process file	用于旧格式/proc轻量级处理文件
POPF	for an old format /proc PID file	用于旧格式/proc PID文件
POPG	for an old format /proc page data file	用于旧格式/proc页面数据文件
PORT	for a SYSV named pipe	SYSV命名管道的
PREG	for a /proc register file	用于/proc寄存器文件
PRMP	for a /proc/rmap file	用于/proc/rmap文件
PRTD	for a /proc root directory	用于/proc根目录
PSGA	for a /proc/sigact file	用于/proc/sigact文件
PSIN	for a /proc/psinfo file	用于/proc/psinfo文件
PSTA	for a /proc status file	用于/proc状态文件
PSXSEM	for a POSIX semaphore file	用于POSIX信号量文件
PSXSHM	for a POSIX shared memory file	用于POSIX共享内存文件
PTS	for a /dev/pts file	用于/dev/pts文件
PUSG	for a /proc/usage file	用于/proc/usage文件
PW	for a /proc/watch file	用于/proc/watch文件
PXMP	for a /proc/xmap file	用于/proc/xmap文件
SMT	for a shared memory transport file	用于共享内存传输文件
STSO	for a stream socket	用于流套接字
UNNM	for an unnamed type file	用于未命名的类型文件
XNAM	for an OpenServer Xenix special file of unknown type	用于未知类型的OpenServer Xenix特殊文件
XSEM	for an OpenServer Xenix semaphore file	用于OpenServer Xenix信号量文件
XSD	for an OpenServer Xenix shared data file	用于OpenServer Xenix共享数据文件
	or the four type number octets if the corresponding name isn't known.	如果相应的名称未知,则为四个类型数字八位字节。

3. 常用选项

-a And运算
-b
+c w command宽度
-c command命令或程序
+d dir目录
-d FD列内容的筛选
-D dir递归目录
-p PID进程号

	Defaults in parentheses; comma-separated set (s) items; dash-separated ranges.	括号中的默认值; 逗号分隔的集合项目; 短划线范围。
-?|-h	list help	列表帮助
-v	list version info	列表版本信息
-a	AND selections (OR)	AND选择（OR）
-c c	cmd c ^c /c/[bix]	cmd c ^ c / c / [bix]
+c w	COMMAND width (9)	命令宽度（9）最大15?
-d s	select by FD set	输出列表中排除或包含的文件描述符(FD)列表。 文件描述符在逗号分隔集合s中指定 – 例如, ''cwd,1,3'',''^6,^2''.(集合中不应有空格)
+d s	dir s files	dirs文件 注：不含符号链接，除非使用-x或-x l选项可包含
+D D	dir D tree *SLOW?*	dir D tree * SLOW？* 递归列出目录下被打开的文件
-u s	exclude(^)|select login|UID set s	exclude(^)|
-i	select IPv[46] files	选择IPv[4,6]tcp,udp等文件
-n	no host names	#不将IP地址转换为hostname,预设是转换的
-P	no port names	#此参数禁止将port number转换为service name,预设为转换
-l	list UID numbers	列出UID号码, 禁止将UID转换为登录名。
-t	terse listing	简洁列表, 只输出PID
-s	list file size	列表文件大小
-o	list file offset	它会将SIZE/OFF输出列标题更改为OFFSET 偏移量
-U	select Unix socket	选择Unix套接字
+|-e s	exempt s *RISKY*	免除路径名为s的文件系统受到可能阻塞的内核函数调用。 +e选项免除stat(2),lstat(2)和大多数readlink(2)内核函数调用. -e选项仅免除stat(2)和lstat(2)内核函数调用. 可以使用单独的+|-e规范指定多个文件系统,并且每个文件系统可以具有免除或不允许的readlink(2)调用.
+|-w	Warnings (+)	警告（+）
-p s	exclude(^)|select PIDs	exclude（^）|选择PID
-R	list paRent PID	列出PPID
-g [s]	exclude(^)|select and print process group IDs	exclude(^)|选择并打印进程组ID
+|-L [l]	list (+) suppress (-) link counts < l (0 = all; default = 0)	启用(+)或禁用(-)文件链接计数列表,它们可用-例如,它们不适用于套接字或大多数FIFO和管道. 如果指定+L且没有跟数字, 则将列出所有链接计数。 指定-L（默认值）时，不会列出任何链接计数。 当+L后跟一个数字时，只列出链接数小于该数字的文件。（没有数字可以跟随-L）

4. 示例

COMMAND	PID	USER	FD	TYPE	DEVICE	SIZE/OFF	NODE	NAME
$ lsof /home/toma/Documents/IO.xls								查找打开该文件的进程
soffice.b	20084	toma	3uW	REG	8,23	242688	1480016	/home/toma/Documents/IO.xls
$ lsof /home/toma/Downloads/mov/GoT.mp4
Thunar	676	toma	25u	REG	8,23	11121302	1705712	/home/toma/Downloads/mov/GoT.mp4
vlc	7975	toma	22r	REG	8,23	11121302	1705712	/home/toma/Downloads/mov/GoT.mp4
$ lsof -c soffice |grep .xls								查找该进程打开的 *.xls 文件
soffice.b	20084	toma	3uW	REG	8,23	242688	1480016	/home/toma/Documents/IO.xls
$ lsof -c vlc |grep .mp4								查找该进程打开的 *.mp4 文件
vlc	7975	toma	23r	REG	8,23	11121302	1705712	/home/toma/Downloads/mov/GoT.mp4
$ lsof /bin/bash								查看谁正在使用某个文件，也就是说查找某个文件相关的进程
sh	528	toma	txt	REG	8,22	903464	1315133	/usr/bin/bash
$ lsof /usr/bin/fish
fish	738	toma	txt	REG	8,22	1587184	1365002	/usr/bin/fish
$ lsof /usr/lib/libreoffice/program/soffice.bin
soffice.b	22284	toma	txt	REG	8,22	14112	1456879	/usr/lib/libreoffice/program/soffice.bin
$ lsof -c soffice.b |grep office.bin
soffice.b	22284	toma	txt	REG	8,22	14112	1456879	/usr/lib/libreoffice/program/soffice.bin
$ lsof -c soffice |grep office.bin
soffice.b	22284	toma	txt	REG	8,22	14112	1456879	/usr/lib/libreoffice/program/soffice.bin
$ lsof /dev/sda10								列出 /dev/sda10 设备上打开的所有文件
vlc	29350	toma	21r	REG	8,10	8500479	9728	/run/media/toma/TjOe/TDDownload/FROZEN2.mp4

4.1 manpage-Examples

For a more extensive set of examples, documented more fully, see the 00QUICKSTART file of the lsof distribution.
有关更全面的示例，请参阅lsof发行版的00QUICKSTART文件。

To list all open Internet, x.25 (HP-UX), and UNIX domain files, use:
要列出所有打开的Internet，x.25（HP-UX）和UNIX域文件，请使用：
$ lsof -i -U

To list all open IPv4 network files in use by the process whose PID is 1234, use:
要列出PID为1234的进程正在使用的所有打开的IPv4网络文件，请使用：
$ lsof -i 4 -a -p 1234

Presuming the UNIX dialect supports IPv6, to list only open IPv6 network files, use:
假设UNIX方言支持IPv6，要仅列出打开的IPv6网络文件，请使用：
$ lsof -i 6

To list all files using any protocol on ports 513, 514, or 515 of host wonderland.cc.purdue.edu, use:
要在主机wonderland.cc.purdue.edu的端口513,514或515上使用任何协议列出所有文件，请使用：
$ lsof -i @wonderland.cc.purdue.edu:513-515

To list all files using any protocol on any port of mace.cc.purdue.edu (cc.purdue.edu is the default domain), use:
要在mace.cc.purdue.edu的任何端口上使用任何协议列出所有文件（cc.purdue.edu是默认域），请使用：
$ lsof -i @mace

To list all open files for login name ''abe'', or user ID 1234, or process 456, or process 123, or process 789, use:
要列出登录名“abe”，或用户ID 1234，或流程456，流程123或流程789的所有打开文件，请使用：
$ lsof -p 456,123,789 -u 1234,abe

To send a SIGHUP to the processes that have /u/abe/bar open, use:
要将SIGHUP发送到打开/ u / abe / bar的进程，请使用：
$ kill -HUP 'lsof -t /u/abe/bar'

To find any open file, including an open UNIX domain socket file, with the name /dev/log, use:
要查找任何打开的文件，包括名为/ dev / log的打开的UNIX域套接字文件，请使用：
$ lsof /dev/log

To find processes with open files on the NFS file system named /nfs/mount/point whose server is inaccessible, and presuming your mount table supplies the device number for /nfs/mount/point, use:
要在名为/ nfs / mount / point且服务器不可访问的NFS文件系统上查找具有打开文件的进程，并假设您的挂载表提供/ nfs / mount / point的设备编号，请使用：
$ lsof -b /nfs/mount/point

To do the preceding search with warning messages suppressed, use:
要在禁用警告消息的情况下执行上述搜索，请使用：
$ lsof -bw /nfs/mount/point

To ignore the device cache file, use:
要忽略设备缓存文件，请使用：
$ lsof -Di

To obtain PID and command name field output for each process, file descriptor, file device number, and file inode number for each file of each process, use:
要为每个进程获取PID和命令名称字段输出，文件描述符，文件设备编号和每个进程的每个文件的文件inode编号，请使用：
$ lsof -FpcfDi

To list the files at descriptors 1 and 3 of every process running the lsof command for login ID ''abe'' every 10 seconds, use:
要列出每10秒执行登录ID“abe”的lsof命令的每个进程的描述符1和3的文件，请使用：
$ lsof -c lsof -a -d 1 -d 3 -u abe -r10

To list the current working directory of processes running a command that is exactly four characters long and has an 'o' or 'O' in character three, use this regular expression form of the -c c option:
要列出运行命令的进程的当前工作目录，该命令长度正好为四个字符且在字符3中具有“o”或“O”，请使用-c c选项的此正则表达式形式：
$ lsof -c /^..o.$/i -a -d cwd

To find an IP version 4 socket file by its associated numeric dot-form address, use:
要通过其关联的数字点形式地址查找IP版本4套接字文件，请使用：
$ lsof -i@128.210.15.17

To find an IP version 6 socket file (when the UNIX dialect supports IPv6) by its associated numeric colon-form address, use:
要通过关联的数字冒号形式地址查找IP版本6套接字文件（当UNIX方言支持IPv6时），请使用：
$ lsof -i@[0:1:2:3:4:5:6:7]

To find an IP version 6 socket file (when the UNIX dialect supports IPv6) by an associated numeric colon-form address that has a run of zeroes in it - e.g., the loop-back address - use:
要通过关联的数字冒号形式地址查找IP版本6套接字文件（当UNIX方言支持IPv6时），其中包含一连串的零 - 例如，回送地址 - 使用：
$ lsof -i@[::1]

To obtain a repeat mode marker line that contains the current time, use:
要获得包含当前时间的重复模式标记线，请使用：
$ lsof -rm====%T====

To add spaces to the previous marker line, use:
要向前一个标记行添加空格，请使用：
$ lsof -r "m==== %T ===="

5. 特别用法

5.1 恢复删除的文件

对于许多应用程序，尤其是日志文件和数据库，这种恢复删除文件的方法非常有用。
$ lsof |grep .mp4 播放视频文件中... FROZEN2.mp4
vlc 30573 toma 20r REG 8,10 8500479 9728 /run/media/toma/TjOe/TDDownload/FROZEN2.mp4
$ lsof |grep .mp4 放入回收站后 显示如下: 从回收站恢复即可
vlc 30573 toma 20r REG 8,10 8500479 9728 /run/media/toma/TjOe/.Trash-1001/files/FROZEN2.mp4
$ lsof |grep .mp4 直接删除(shift + delete),显示如下，后面多了(deleted)标记
vlc 30573 toma 20r REG 8,10 8500479 9728 /run/media/toma/TjOe/TDDownload/FROZEN2.mp4 (deleted)
$ ls -l /proc/30573/fd/20 列出pid信息，/proc/30573/fd/20 链接到已删除文件。
lr-x------ 1 /proc/30573/fd/20 -> '/run/media/toma/TjOe/TDDownload/FROZEN2.mp4 (deleted)'
$ cat /proc/30573/fd/20 > /home/toma/te.mp4 使用查看命令打开并 重定向到新文件即可

$ ls -l /home/toma/te.mp4 列出恢复的新文件
-rwxrwxrwx 1 toma    8500479 te.mp4

5.2 杀死某个特定用户的所有活动

# kill -9 `lsof -t -u named`
对于服务器或多用户共用的环境比较有用。

5.3 找回被删除文件占用的空间

找到仍被打开，但已被删除的文件
$ lsof | grep deleted

查看后关闭相应程序或杀死进程即可
$ ps -ef | grep pid
$ sudo kill -9 pid