Linux下lsof命令详解
lsof命令的根本使用方法lsof命令简介：
<blockquote class="kdocs-blockquote" style=""> lsof（list open files）是一个列出当前体系打开文件的工具，lsof 意义LiSt Open Files用于找出哪些文件被哪个进程打开。众所周知Linux/Unix将所有内容都视为文件（pipes,sockets,directories,devices等等）。使用的原因之一lsof命令是当磁盘无法卸载时，由于它表示正在使用文件。借助此命令，我们可以轻松识别正在使用的文件。
lsof命令的使用
1.使用lsof命令可以查看全部文件（此处取前五行）
# lsof | head -5
COMMAND PIDTID USER FD TYPE DEVICESIZE/OFF NODE NAME
systemd 1 rootcwd DIR 253,0 247 64 /
systemd 1 rootrtd DIR 253,0 247 64 /
systemd 1 roottxt REG 253,0 1632776 353452 /usr/lib/systemd/systemd
systemd 1 rootmem REG 253,0 20064 116104 /usr/lib64/libuuid.so.1.3.02.输出各列信息的意义如下：
[*]COMMAND： 进程的名称
[*]PID： 进程标识符
[*]USER： 进程所有者
[*]FD： 文件形貌符，应用步调通过文件形貌符识别该文件，如cwd、txt等
[*]TYPE： 文件范例，如DIR、REG等
[*]DEVICE： 指定磁盘的名称
[*]SIZE： 文件的大小
[*]NODE： 索引节点（文件在磁盘上的标识）
[*]NAME： 打开文件的确切名称
3.详细的使用方法和示例
# 列出用户特定打开的文件 (列出跟 ysy 用户有关的文件)
# lsof -u ysy
# 列出在特定端口上运行的文件 ，要找出特定端口上所有正在运行的进程，只需使用以下带有选项的命令-i.下面的例子将列出 22 端口的所有正在运行的进程
# lsof -i TCP:22
COMMAND PID USER FD TYPEDEVICE SIZE/OFF NODE NAME
sshd 1086 root 3uIPv4 19888 0t0TCP *:ssh (LISTEN)
sshd 1086 root 4uIPv6 19890 0t0TCP *:ssh (LISTEN)
# 列出 IPV4 和 IPV6 打开的文件
# lsof -i 4
COMMAND PID USER FD TYPEDEVICE SIZE/OFF NODE NAME
chronyd 713 chrony 5uIPv4 18662 0t0UDP localhost:323
sshd 1086 root 3uIPv4 19888 0t0TCP *:ssh (LISTEN)
# lsof -i 6
COMMANDPID USER FD TYPE DEVICE SIZE/OFF NODE NAME
chronyd713 chrony 6uIPv618663 0t0UDP localhost:323
sshd 1086 root 4uIPv619890 0t0TCP *:ssh (LISTEN)
master1323 root 14uIPv621312 0t0TCP localhost:smtp (LISTEN)
# 用^ 排除用户
# 列出不是 root 用户打开的文件
# lsof -u ^root | head -3
COMMAND PID TID USER FD TYPE DEVICE SIZE/OFF NODE NAME
polkitd 704 polkitdcwd DIR 253,0 247 64 /
polkitd 704 polkitdrtd DIR 253,0 247 64 /
# 列出所有网络连接，带有选项的以下命令‘-i’显示所有网络连接的列表'LISTENING & ESTABLISHED’.
# lsof -i
COMMAND PID USER FD TYPEDEVICE SIZE/OFF NODE NAME
chronyd 713 chrony 5uIPv4 18662 0t0UDP localhost:323
chronyd 713 chrony 6uIPv6 18663 0t0UDP localhost:323
sshd 1086 root 3uIPv4 19888 0t0TCP *:ssh (LISTEN)
sshd 1086 root 4uIPv6 19890 0t0TCP *:ssh (LISTEN)
master 1323 root 13uIPv4 21311 0t0TCP localhost:smtp (LISTEN)
master 1323 root 14uIPv6 21312 0t0TCP localhost:smtp (LISTEN)
sshd 52786 root 3uIPv4 1440411 0t0TCP web2:ssh->192.168.88.1:50764 (ESTABLISHED)
sshd 52794 root 3uIPv4 1442022 0t0TCP web2:ssh->192.168.88.1:50766 (ESTABLISHED)
sshd 55495 root 3uIPv4 1447243 0t0TCP web2:ssh->192.168.88.1:54874 (ESTABLISHED)
sshd 55502 root 3uIPv4 1446814 0t0TCP web2:ssh->192.168.88.1:54876 (ESTABLISHED)
# 按 PID 进程号搜索，搜索进程号是 2 的进程的相关信息
# lsof -p 2
COMMANDPID USER FD TYPE DEVICE SIZE/OFF NODE NAME
kthreadd 2 rootcwd DIR253,0 247 64 /
kthreadd 2 rootrtd DIR253,0 247 64 /
# 根据文件描述符 FD 来查看文件，查看 FD 为 2 的文件信息
# lsof -d 2
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
systemd 1 root 2u CHR 1,3 0t0 9218 /dev/null
polkitd 704 polkitd 2u CHR 1,3 0t0 9218 /dev/null
dbus-daem 709 dbus 2uunix 0xffff9660f60361c0 0t0 18649 socket
chronyd 713chrony 2u CHR 1,3 0t0 9218 /dev/null
agetty 126131 root 2u CHR 4,1 0t0 9233 /dev/tty1
# 杀死特定用户的所有活动，有时你可能必须终止特定用户的所有进程。下面的命令将杀死所有进程 ysy 用户。
# kill -9 ` lsof -t -u ysy ` # `号后有空格其他使用场景举例
<blockquote class="kdocs-blockquote" style=""> 同事今天请假了，但负责的webserver服务出现了问题，老板让你看一下webserver服务的日志，但你不知道webserver服务的日志文件路径，配置文件太复杂你不太懂，这时你可以实验以下命令查看日志文件路径。 $ lsof -c webserver | grep -e 'log$'
webserver10124devl4uREG 253,18814787109523 /home/devl/application/webserver/log/webserver.00.log
<blockquote class="kdocs-blockquote" style=""> 新来的同事误删除了的webserver服务的日志文件，如今线上情况有一个问题，需要查看webserver日志，老板让紧急处理一下，这时你想到lsof命令。是的，你可以实验命令查看日志文件的文件句柄，根据句柄得到日志文件在webserver进程中的映射路径(/proc/进程ID/fd/句柄)。 $ lsof -c webserver | grep -e 'log$'
webserver10124devl4uREG 253,18814787109523 /home/devl/application/webserver/log/webserver.00.log<blockquote class="kdocs-blockquote" style=""> 命令实验结果显示webserver服务的进程ID为10124，日志文件句柄为4u（即4号句柄），以是/proc/10124/fd/4就是日志文件在webserver进程中的映射路径，这时你用tail命令就可查看日志文件了。 $ tail -f /proc/10124/fd/4
start route ping process success
ping host success
check session success<blockquote class="kdocs-blockquote" style=""> 当进程打开了某个文件时，只要该进程保持打开该文件，纵然将其删除，它依然存在于磁盘中。这意味着，进程并不知道文件已经被删除，它仍然可以向打开该文件时提供给它的文件形貌符进行读取和写入。除了该进程之外，这个文件是不可见的，由于已经删除了其相应的目录索引节点。 在/proc 目录下，其中包含了反映内核和进程树的各种文件。/proc目录挂载的是在内存中所映射的一块地区，以是这些文件和目录并不存在于磁盘中，因此当我们对这些文件进行读取和写入时，实际上是在从内存中获取相关信息。大多数与 lsof相关的信息都存储于以进程的 PID 定名的目录中，即 /proc/1234中包含的是 PID为1234的进程的信息。每个进程目录中存在着各种文件，它们可以使得应用步调简单地了解进程的内存空间、文件形貌符列表、指向磁盘上的文件的符号链接和其他体系信息。lsof 步调使用该信息和其他关于内核内部状态的信息来产生其输出。以是lsof可以显示进程的文件形貌符和相关的文件名等信息。也就是我们通过访问进程的文件形貌符可以找到该文件的相关信息。 当体系中的某个文件被意外地删除了，只要这个时候体系中还有进程正在访问该文件，那么我们就可以通过lsof从/proc目录下规复该文件的内容。
Linux 磁盘空间释放问题
1.应用场景
<blockquote class="kdocs-blockquote" style=""> IDC里的一台服务器的/分区使用率爆满了！已达到100%！经查看发现有个文件过大（80G），于是在跟有关同事确认后rm -f果断删除该文件。但是发现删除该文件后，/分区的磁盘空间压根没有释放出来，使用率照旧100%！这是为什么呢？ # df -h
文件系统 容量已用可用 已用% 挂载点
devtmpfs 898M1.3M897M 1% /dev
tmpfs 910M 0910M 0% /dev/shm
tmpfs 910M 58M853M 7% /run
tmpfs 910M 0910M 0% /sys/fs/cgroup
/dev/mapper/centos-root 17G17G 0G 100% /
/dev/sr0 9.5G9.5G 0100% /dvd
2.原因分析
<blockquote class="kdocs-blockquote" style=""> 在Linux体系中，通过rm大概文件管理器删除文件，只是将它会从文件体系的目录布局上解除链接(unlink)，也就是说只是删除了文件和体系目录布局的链接；
<blockquote class="kdocs-blockquote" style=""> 如果文件在删除时是被打开的（有一个进程正在使用该文件，文件被进程锁定大概有进程一直在向这个文件写数据等）状态，那么进程将仍然可以读取该文件，也就是说没有删撤除文件在读取的状态，以是磁盘空间也就会一直被占用。
<blockquote class="kdocs-blockquote" style=""> 一个文件在文件体系中的存放分为两个部门：数据部门和指针部门，指针位于文件体系的meta-data中，数据被删除后，这个指针就从meta-data中清除了，文件数据部门占用的空间就可以被覆盖并写入新的内容，之以是出现删除文件后，空间还没释放，就是由于有进程还在一直向这个文件写入内容，导致虽然删除了文件，但文件对应的指针部门由于进程锁定，并未从meta-data中清除，而由于指针并未被删除，那么体系内核就以为文件并未被删除，因此通过df命令查询空间并未释放也就屡见不鲜了。
3办理措施
<blockquote class="kdocs-blockquote" style=""> 1.通过lsof | grep deleted 命令获取到已经被删除但是仍然被应用步调占用的文件列表，然后kill PID掉还在占用所删除文件的进程。需要注意的是：如果有很多进程都在使用所删除文件，那么采用这种方式kill进程就有点贫苦了，而且风险也比较大。 # lsof | grep /root/rback# 查看目录相关信息
vim 18542 rootcwd DIR 7,0 1024 2 /root/rback
vim 18542 root 3u REG 7,0 12288 12 /root/rback/.name.txt.swp
bash 126292 rootcwd DIR 7,0 1024 2 /root/rback
# rm -rf /root/rback/.name.txt.swp # 删除文件
# lsof | grep name.txt # 文件被删除，但仍然被应用程序占用的文件，后面有 delete 标识
vim 18542 root 3u REG 7,0 12288 12 /root/rback/.name.txt.swp (deleted)
# lsof | grep delete # 查找被删除，但仍然被进程占用的文件
vim 18542 root 3u REG 7,0 12288 12 /root/rback/.name.txt.swp (deleted)
#kill -918542# 杀死该进程，即可释放被删除的文件
<blockquote class="kdocs-blockquote" style=""> 2.对待这种进程不绝对文件写日志的操纵，要释放文件占用的磁盘空间，最好的方法是在线清空这个文件。通过这种方法，磁盘空间不但可以立刻释放，也可保障进程继续向文件写入日志。 在线清空文件（好比/home/wangshibo.log）的方式：
a）# echo " " > /home/wangshibo.log
b）# cat /dev/null > /home/wangshibo.log
c）# > /home/wangshibo.log
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]