lsof命令

lsof命令

?? Written by Zak Zhu

参考

• 鸟哥私房菜(http://cn.linux.vbird.org/linux_basic/0440processcontrol_4.php#proc)
• 枯木/翻译-lsof在Linux中的10个例子(http://kumu-linux.github.io/blog/2013/04/08/lsof/)
• 不一样的天空w/lsof命令详解(http://blog.itpub.net/31397003/viewspace-2147485/)
• Linux Tools Quick Tutorial--工具参考篇--3.lsof 一切皆文件(https://linuxtools-rst.readthedocs.io/zh_CN/latest/tool/lsof.html)
• yexiaobai/使用lsof处理文件恢复,句柄以及空间释放问题(http://www.voidcn.com/article/p-ggdoqzkj-a.html)
• 阿里狼/centos7下lsof的坑(https://www.iyunv.com/thread-383054-1-1.html)
• petergz/[Linux] lsof的错误使用场景和查看打开文件数的正确方法(https://www.jianshu.com/p/407c2baef92e)
• teddy.sun/关于file-max和file-nr(http://www.opstool.com/article/166)
• Narad Shrestha/10 lsof Command Examples in Linux(https://www.tecmint.com/10-lsof-command-examples-in-linux/)

lsof版本注意

CentOS6中lsof版本默认为4.82

CentOS7中lsof版本默认为4.87

上述两个版本差异见下图:

由上图可知,如果在CentOS7中用lsof | wc -l命令来计算Open File Discriptor的总数,那么Open File Discriptor的总数会明显偏大 !!!

特别建议

所以为了避免上述问题,建议使用如下命令来查看FD:

1. 统计System Open File Discriptor的总数

   cat /proc/sys/fs/file-nr | awk '{print $1-$2}'

2. 统计The Process Open File Discriptor的总数

   ls -l /proc/<pid>/fd | wc -l

   

3. 查看哪些进程使用的FD较多

   执行pnofile.sh脚本:

   for pid_path in $(ls -d /proc/[0-9]*)
   do
     pid=$(echo ${pid_path} | awk -F'/' '{print $3}')
     pnofile=$(ls ${pid_path}/fd | wc -l) 
     echo "${pid_path} ${pnofile}" >> /tmp/stdout                                                           
   done
   
   cat /tmp/stdout | awk '{print $2,$1}' | sort -rn 
   
   rm -rf /tmp/stdout

   

lsof用法

下面我使用版本为4.87的lsof来演示用法:

1. List all Open Files with lsof Command

lsof

2. List User Specific Opened Files

lsof -u root

3. Find Processes running on Specific Port

lsof -i TCP:22

4. List Open Files of TCP Port ranges 1-1024

lsof -i TCP:1-1024

5. Exclude User with ‘^‘ Character

lsof -i -u ^root

6. Search by PID

lsof -p 1

7. Kill all Activity of Particular User

kill -9 $(lsof -t -u zak)

lsof应用实例

1.恢复删除的文件

接下来,我们做个实验:

• 模拟文件被删除,但是系统中还有进程正在访问该文件情况

  # 1
  echo "hello" > /tmp/test
  # 2
  less /tmp/test
  # 此时,在另外一个终端,Jhon执行了删除该文件的操作
  # 3
  rm /tmp/test

  @H_434_301@

• 恢复被删除的文件

  1. 通过lsof查找正使用该文件的PID以及FD

     lsof | grep "deleted" | grep "/tmp/test"

     

  2. 在/proc目录下,找到使用该文件的进程的FD

     cat /proc/32189/fd/4

     

  3. 恢复文件

     cat /proc/32189/fd/4 > /tmp/test

     

2.处理df和du的显示相差很大

3.解决文件系统无法卸载

• 模拟文件系统无法卸载的情况

  # 1
  mount /dev/sr0 /mnt/cdrom
  # 2
  less /mnt/cdrom/GPL
  #当文件系统中,有文件正在被使用,此时卸载该文件系统会失败
  # 3
  umount /dev/sr0

  

• 解决思路

  1. 通过lsof查看该文件系统中正在使用文件的进程

     lsof | grep "/mnt/cdrom"

     

  2. 杀掉该文件系统中正在使用文件的进程

     kill -9 10506

  3. 成功卸载该文件系统

     umount /dev/sr0