Unix/linux调试的瑞士军刀：lsof

如果说netcat 是进行网络诊断的瑞士军刀，那么

lsof 就是Unix 调试的瑞士军刀。

Lsof 遵从Unix 哲学的典范，它只做一件事情，并

且做的相当完美——它可以列出某个进程打开的所

有文件信息。打开的文件可能是普通的文件，目录，

NFS 文件，块文件，字符文件，共享库，常规管道，明

明管道，符号链接，Socket 流，网络Socket，UNIX 域

Socket，以及其它更多。因为Unix 系统中几乎所有东

西都是文件，你可以想象lsof 该有多有用。

如何使用lsof ？

这篇文章中我会尽力列举我能想到的所有lsof

的用法，让我们先从最简单的开始（或许你已经知道

了），然后逐渐增加复杂度：

列出所有打开的文件

# lsof

不带任何参数运行lsof 会列出所有进程打开的所

有文件。

找出谁在使用某个文件

# lsof /path/to/file

只需要执行文件的路径，lsof 就会列出所有使用

这个文件的进程，你也可以列出多个文件，lsof 会列

出所有使用这些文件的进程。

你也可以一次制定多个文件：

# lsof /path/to/file1 /path/to/file2

递归查找某个目录中所有打开的文件

# lsof +D /usr/lib

加上+D 参数，lsof 会对指定目录进行递归查找，

注意这个参数要比grep 版本慢：

# lsof | grep '/usr/lib'

之所以慢是因为+D 首先查找所有的文件，然后

一次性输出。

列出某个用户打开的所有文件

# lsof -u pkrumins

-u 选项限定只列出所有被用户pkrumins 打开的

文件，你可以通过逗号指定多个用户：

# lsof -u rms,root

这条命令会列出所有rms 和root 用户打开的文件。

你也可以像下面这样使用多个-u 做同样的事情：

# lsof -u rms -u root

查找某个程序打开的所有文件

# lsof -c apache

-c 选项限定只列出以apache 开头的进程打开的

文件：

所以你可以不用像下面这样写：

# lsof | grep foo

而使用下面这个更简短的版本：

# lsof -c foo

事实上，你可以只制定进程名称的开头：

# lsof -c apa

这会列出所有以apa 开头的进程打开的文件

你同样可以制定多个-c 参数：

# lsof -c apache -c python

这会列出所有由apache 和python 打开的文件

列出所有由某个用户或某个进程打开的文件

# lsof -u pkrumins -c apache

你也可以组合使用多个选项，这些选项默认进行

或关联，也就是说上面的命令会输入由pkrumins 用户

或是apache 进程打开的文件。

列出所有由一个用户与某个进程打开的文件

# lsof -a -u pkrumins -c bash

-a 参数可以将多个选项的组合条件由或变为与，

上面的命令会显示所有由pkrumins 用户以及bash 进

程打开的文件。

列出除root 用户外的所有用户打开的文件

# lsof -u ^root

注意root 前面的^ 符号，它执行取反操作，因此

lsof 会列出所有root 用户之外的用户打开的文件。

列出所有由某个PID 对应的进程打开的文件

# lsof -p 1

-p 选项让你可以使用进程id 来过滤输出。

记住你也可以用都好来分离多个pid。

# lsof -p 450,980,333

列出所有进程打开的文件除了某个pid 的

# lsof -p ^1

同前面的用户一样，你也可以对-p 选项使用^ 来

进行取反。

列出所有网络连接

# lsof -i

lsof 的-i 选项可以列出所有打开了网络套接字

（TCP 和UDP）的进程。

列出所有TCP 网络连接

# lsof -i tcp

也可以为-i 选项加上参数，比如tcp，tcp 选项会

强制lsof 只列出打开TCP sockets 的进程。

列出所有UDP 网络连接

# lsof -i udp

同样udp 让lsof 只列出使用UDP socket 的进程。

找到使用某个端口的进程

# lsof -i :25

:25 和-i 选项组合可以让lsof 列出占用TCP 或

UDP 的25 端口的进程。

你也可以使用/etc/services 中制定的端口名称

来代替端口号，比如：

# lsof -i :smtp

找到使用某个udp 端口号的进程

# lsof -i udp:53

同样的，也可以找到使用某个tcp 端口的进程：

# lsof -i tcp:80

找到某个用户的所有网络连接

# lsof -a -u hacker -i

使用-a 将-u 和-i 选项组合可以让lsof 列出某

个用户的所有网络行为。

列出所有NFS（网络文件系统）文件

# lsof -N

这个参数很好记，-N 就对应NFS。

列出所有UNIX 域Socket 文件

# lsof -U

这个选项也很好记，-U 就对应UNIX。

列出所有对应某个组id 的进程

# lsof -g 1234

进程组用来来逻辑上对进程进行分组，这个例子

查找所有PGID 为1234 的进程打开的文件。

列出所有与某个描述符关联的文件

# lsof -d 2

这个命令会列出所有以描述符2 打开的文件。

你也可以为描述符指定一个范围：

# lsof -d 0-2

这会列出所有描述符为0，1，2 的文件。

-d 选项还支持其它很多特殊值，下面的命令列出

所有内存映射文件：

# lsof -d mem

txt 则列出所有加载在内存中并正在执行的进程：

# lsof -d txt

输出使用某些资源的进程pid

# lsof -t -i

-t 选项输出进程的PID，你可以将它和-i 选项组

合输出使用某个端口的进程的PID，下面的命令将会

杀掉所有使用网络的进程：

# kill -9 `lsof -t -i`

循环列出文件

# lsof -r 1

-r 选项让lsof 可以循环列出文件直到被中断，参

数1 的意思是每秒钟重复打印一次，这个选项最好同

某个范围比较小的查询组合使用，比如用来监测网络

活动：

# lsof -r 1 -u john -i -a

如何安装lsof ？

许多Unix 系统都内置了lsof，如果你的系统没有

安装，你可以从这里直接下载源代码。

BSD 系统有一个类似的工具可以做同样的事情，

叫做fstat。

你可以通过man lsof 来了解关于lsof 的完整文档，

或者通过lsof -h 查看。

本文有删节，完整内容见原文：

A Unix Utility You Should Know About: lsof

h t t p : / / h e i k e z h i . c o m / 2 0 1 1 / 0 6 / 1 9 / s w i s s -

army-knife-of-unix-debugging-lsof/