接触linux的人应该会碰到这个的需求，想要看哪些人正在使用指定的文件或目录，或者说指定用户正在使用哪些文件，甚至是一个进程正在使用什么文件或网络连接；当然，原因可能是想排查故障，查找非法用户进程操作等，所以这个需求还是很有必要的，lsof可以帮你实现你的需求。

linux

lsof简介

lsof（list open files）是一个列出当前系统打开文件的工具。在linux环境下，任何事物都以文件的形式存在，通过文件不仅仅可以访问常规数据，还可以访问网络连接和硬件。

linux一切皆文件

lsof命令输出含义

lsof不接任何参数即可显示系统打开的所有文件，因为 lsof 需要访问核心内存和各种文件，所以必须以 root 用户的身份运行。

lsof输出

• COMMAND：进程的名称。

• PID：进程标识符。

• USER：进程所有者。

• FD：文件描述符，应用程序通过文件描述符识别该文件。如cwd、txt等。

• TYPE：文件类型，如DIR、REG等。

• DEVICE：设备号，指定磁盘的名称。

• SIZE：文件的大小。

• NODE：索引节点（文件在磁盘上的标识）。

• NAME：打开文件的确切名称。

其中FD列中的文件描述符cwd值表示应用程序的当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改。txt类型的文件是程序代码，如应用程序二进制文件本身或共享库，如上图中显示的/sbin/init程序。其次数值表示应用程序的文件描述符，这是打开该文件时返回的一个整数。如上图某些文件描述符为数字接后面接u/r/w/W。u表示该文件被打开并处于读取/写入模式，而不是只读r或只写w模式。同时还有大写的W 表示该应用程序具有对整个文件的写锁。该文件描述符用于确保每次只能打开一个应用程序实例。初始打开每个应用程序时，都具有三个文件描述符，从0到2，分别表示标准输入、输出和错误流。所以大多数应用程序所打开的文件的FD都是从3开始。与FD列相比，Type 列则比较直观，文件和目录分别称为REG和DIR；而CHR和BLK，分别表示字符和块设备；UNIX、FIFO和IPv4，分别表示UNIX域套接字、先进先出(FIFO)队列和网际协议(IP)套接字。

常用参数

• lsof filename 显示打开指定文件的所有进程。

• lsof -a 表示两个参数都必须满足时才显示结果（当然，要接上参数）。

• lsof -c string 显示COMMAND列中包含指定字符的进程所有打开的文件。

• lsof -u username 显示所属user进程打开的文件。

• lsof -g gid 显示归属gid的进程情况。

• lsof +d /DIR/ 显示目录下被进程打开的文件。

• lsof +D /DIR/ 同上，但是会搜索目录下的所有目录，时间相对较长。

• lsof -d FD 显示指定文件描述符的进程。

• lsof -n 不将IP转换为hostname，缺省转换。

• lsof -i 用以显示符合网络连接条件的进程情况。

• lsof -i[46] [protocol][@hostname|hostaddr][:service|port]

46 --> IPv4 or IPv6

protocol --> TCP or UDP

hostname --> Internet host name

hostaddr --> IPv4地址

service --> /etc/service中的 service name (可以不只一个)

port --> 端口号 (可以不只一个)

例如查看80端口被哪个进程占用及网络连接详情：

lsof -i :80

• lsof +|-r [t] 控制lsof不断重复执行，缺省是15s刷新。

-r，lsof会永远不断的执行，直到收到中断信号。

+r，lsof会一直执行，直到没有档案被显示。

例如不断查看目前ftp连接的情况：

lsof -i tcp@192.168.1.100:ftp -r

@觉得不错的，请关注木纳哥的头条，后续内容更精彩@