Linux 命令神器：lsof

lsof是系統(tǒng)管理/安全的尤伯工具。將這個(gè)工具稱之為lsof真實(shí)名副其實(shí)，因?yàn)樗侵浮傲谐龃蜷_(kāi)文件（lists openfiles）”。而有一點(diǎn)要切記，在Unix中一切（包括網(wǎng)絡(luò)套接口）都是文件。

有趣的是，lsof也是有著最多開(kāi)關(guān)的Linux/Unix命令之一。它有那么多的開(kāi)關(guān)，它有許多選項(xiàng)支持使用-和+前綴。

1.  usage:  [-?abhlnNoOPRstUvV]  [+|-c c]  [+|-d s]  [+D D]  [+|-f[cgG]]
2.  [-F [f]]  [-g [s]]  [-i [i]]  [+|-L [l]]  [+|-M]  [-o [o]]
3.  [-p s]  [+|-r [t]]  [-S [t]]  [-T [t]]  [-u s]  [+|-w]  [-x [fl]]  [--]  [names]

正如你所見(jiàn)，lsof有著實(shí)在是令人驚訝的選項(xiàng)數(shù)量。你可以使用它來(lái)獲得你系統(tǒng)上設(shè)備的信息，你能通過(guò)它了解到指定的用戶在指定的地點(diǎn)正在碰什么東西，或者甚至是一個(gè)進(jìn)程正在使用什么文件或網(wǎng)絡(luò)連接。

對(duì)于我，lsof替代了netstat和ps的全部工作。它可以帶來(lái)那些工具所能帶來(lái)的一切，而且要比那些工具多得多。那么，讓我們來(lái)看看它的一些基本能力吧：

關(guān)鍵選項(xiàng)

理解一些關(guān)于lsof如何工作的關(guān)鍵性東西是很重要的。最重要的是，當(dāng)你給它傳遞選項(xiàng)時(shí)，默認(rèn)行為是對(duì)結(jié)果進(jìn)行“或”運(yùn)算。因此，如果你正是用-i來(lái)拉出一個(gè)端口列表，同時(shí)又用-p來(lái)拉出一個(gè)進(jìn)程列表，那么默認(rèn)情況下你會(huì)獲得兩者的結(jié)果。

下面的一些其它東西需要牢記：

  • 默認(rèn) : 沒(méi)有選項(xiàng)，lsof列出活躍進(jìn)程的所有打開(kāi)文件
  • 組合 : 可以將選項(xiàng)組合到一起，如-abc，但要當(dāng)心哪些選項(xiàng)需要參數(shù)
  • -a : 結(jié)果進(jìn)行“與”運(yùn)算（而不是“或”）
  • -l : 在輸出顯示用戶ID而不是用戶名
  • -h : 獲得幫助
  • -t : 僅獲取進(jìn)程ID
  • -U : 獲取UNIX套接口地址
  • -F : 格式化輸出結(jié)果，用于其它命令?？梢酝ㄟ^(guò)多種方式格式化，如-F pcfn（用于進(jìn)程id、命令名、文件描述符、文件名，并以空終止）

獲取網(wǎng)絡(luò)信息

正如我所說(shuō)的，我主要將lsof用于獲取關(guān)于系統(tǒng)怎么和網(wǎng)絡(luò)交互的信息。這里提供了關(guān)于此信息的一些主題：

使用-i顯示所有連接

有些人喜歡用netstat來(lái)獲取網(wǎng)絡(luò)連接，但是我更喜歡使用lsof來(lái)進(jìn)行此項(xiàng)工作。結(jié)果以對(duì)我來(lái)說(shuō)很直觀的方式呈現(xiàn)，我僅僅只需改變我的語(yǔ)法，就可以通過(guò)同樣的命令來(lái)獲取更多信息。

語(yǔ)法: lsof -i[46] [protocol][@hostname|hostaddr][:service|port]

1.  #  lsof  -i

3.  COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
4.  dhcpcd 6061 root 4u  IPv4  4510 UDP *:bootpc
5.  sshd  7703 root 3u  IPv6  6499 TCP *:ssh  (LISTEN)
6.  sshd  7892 root 3u  IPv6  6757 TCP 10.10.1.5:ssh->192.168.1.5:49901  (ESTABLISHED)

使用-i 6僅獲取IPv6流量


1.  #  lsof  -i 6

僅顯示TCP連接（同理可獲得UDP連接）

你也可以通過(guò)在-i后提供對(duì)應(yīng)的協(xié)議來(lái)僅僅顯示TCP或者UDP連接信息。

1.  #  lsof  -iTCP

3.  COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
4.  sshd  7703 root 3u  IPv6  6499 TCP *:ssh  (LISTEN)
5.  sshd  7892 root 3u  IPv6  6757 TCP 10.10.1.5:ssh->192.168.1.5:49901  (ESTABLISHED)

使用-i:port來(lái)顯示與指定端口相關(guān)的網(wǎng)絡(luò)信息

或者，你也可以通過(guò)端口搜索，這對(duì)于要找出什么阻止了另外一個(gè)應(yīng)用綁定到指定端口實(shí)在是太棒了。


1.  #  lsof  -i :22

3.  COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
4.  sshd  7703 root 3u  IPv6  6499 TCP *:ssh  (LISTEN)
5.  sshd  7892 root 3u  IPv6  6757 TCP 10.10.1.5:ssh->192.168.1.5:49901  (ESTABLISHED)

使用@host來(lái)顯示指定到指定主機(jī)的連接

這對(duì)于你在檢查是否開(kāi)放連接到網(wǎng)絡(luò)中或互聯(lián)網(wǎng)上某個(gè)指定主機(jī)的連接時(shí)十分有用。


1.  #  lsof  -i@172.16.12.5

3.  sshd  7892 root 3u  IPv6  6757 TCP 10.10.1.5:ssh->172.16.12.5:49901  (ESTABLISHED)

使用@host:port顯示基于主機(jī)與端口的連接

你也可以組合主機(jī)與端口的顯示信息。


1.  #  lsof  -i@172.16.12.5:22

3.  sshd  7892 root 3u  IPv6  6757 TCP 10.10.1.5:ssh->172.16.12.5:49901  (ESTABLISHED)

找出監(jiān)聽(tīng)端口

找出正等候連接的端口。


1.  #  lsof  -i -sTCP:LISTEN

你也可以grep “LISTEN”來(lái)完成該任務(wù)。


1.  #  lsof  -i |  grep  -i LISTEN

3.  iTunes 400 daniel 16u  IPv4  0x4575228  0t0 TCP *:daap (LISTEN)

找出已建立的連接

你也可以顯示任何已經(jīng)連接的連接。


1.  #  lsof  -i -sTCP:ESTABLISHED

你也可以通過(guò)grep搜索“ESTABLISHED”來(lái)完成該任務(wù)。


1.  #  lsof  -i |  grep  -i ESTABLISHED

3.  firefox-b 169 daniel 49u  IPv4  0t0 TCP 1.2.3.3:1863->1.2.3.4:http (ESTABLISHED)

用戶信息

你也可以獲取各種用戶的信息，以及它們?cè)谙到y(tǒng)上正干著的事情，包括它們的網(wǎng)絡(luò)活動(dòng)、對(duì)文件的操作等。

使用-u顯示指定用戶打開(kāi)了什么


1.  #  lsof  -u daniel

3.  -- snipped --
4.  Dock  155 daniel  txt REG 14,2  2798436  823208  /usr/lib/libicucore.A.dylib
5.  Dock  155 daniel  txt REG 14,2  1580212  823126  /usr/lib/libobjc.A.dylib
6.  Dock  155 daniel  txt REG 14,2  2934184  823498  /usr/lib/libstdc++.6.0.4.dylib
7.  Dock  155 daniel  txt REG 14,2  132008  823505  /usr/lib/libgcc_s.1.dylib
8.  Dock  155 daniel  txt REG 14,2  212160  823214  /usr/lib/libauto.dylib
9.  -- snipped --

使用-u user來(lái)顯示除指定用戶以外的其它所有用戶所做的事情 


1.  #  lsof  -u ^daniel

3.  -- snipped --
4.  Dock  155 jim  txt REG 14,2  2798436  823208  /usr/lib/libicucore.A.dylib
5.  Dock  155 jim  txt REG 14,2  1580212  823126  /usr/lib/libobjc.A.dylib
6.  Dock  155 jim  txt REG 14,2  2934184  823498  /usr/lib/libstdc++.6.0.4.dylib
7.  Dock  155 jim  txt REG 14,2  132008  823505  /usr/lib/libgcc_s.1.dylib
8.  Dock  155 jim  txt REG 14,2  212160  823214  /usr/lib/libauto.dylib
9.  -- snipped --

殺死指定用戶所做的一切事情

可以消滅指定用戶運(yùn)行的所有東西，這真不錯(cuò)。


1.  #  kill  -9  `lsof -t -u daniel`

命令和進(jìn)程

可以查看指定程序或進(jìn)程由什么啟動(dòng)，這通常會(huì)很有用，而你可以使用lsof通過(guò)名稱或進(jìn)程ID過(guò)濾來(lái)完成這個(gè)任務(wù)。下面列出了一些選項(xiàng)：

使用-c查看指定的命令正在使用的文件和網(wǎng)絡(luò)連接


1.  #  lsof  -c syslog-ng

3.  COMMAND    PID USER   FD   TYPE     DEVICE    SIZE       NODE NAME
4.  syslog-ng 7547 root  cwd    DIR 3,3  4096  2  /
5.  syslog-ng 7547 root  rtd    DIR 3,3  4096  2  /
6.  syslog-ng 7547 root  txt    REG 3,3  113524  1064970  /usr/sbin/syslog-ng
7.  -- snipped --

使用-p查看指定進(jìn)程ID已打開(kāi)的內(nèi)容


1.  #  lsof  -p 10075

3.  -- snipped --
4.  sshd  10068 root  mem    REG 3,3  34808  850407  /lib/libnss_files-2.4.so
5.  sshd  10068 root  mem    REG 3,3  34924  850409  /lib/libnss_nis-2.4.so
6.  sshd  10068 root  mem    REG 3,3  26596  850405  /lib/libnss_compat-2.4.so
7.  sshd  10068 root  mem    REG 3,3  200152  509940  /usr/lib/libssl.so.0.9.7
8.  sshd  10068 root  mem    REG 3,3  46216  510014  /usr/lib/liblber-2.3
9.  sshd  10068 root  mem    REG 3,3  59868  850413  /lib/libresolv-2.4.so
10.  sshd  10068 root  mem    REG 3,3  1197180  850396  /lib/libc-2.4.so
11.  sshd  10068 root  mem    REG 3,3  22168  850398  /lib/libcrypt-2.4.so
12.  sshd  10068 root  mem    REG 3,3  72784  850404  /lib/libnsl-2.4.so
13.  sshd  10068 root  mem    REG 3,3  70632  850417  /lib/libz.so.1.2.3
14.  sshd  10068 root  mem    REG 3,3  9992  850416  /lib/libutil-2.4.so
15.  -- snipped --

-t選項(xiàng)只返回PID


1.  #  lsof  -t -c Mail

3.  350

文件和目錄

通過(guò)查看指定文件或目錄，你可以看到系統(tǒng)上所有正與其交互的資源——包括用戶、進(jìn)程等。

顯示與指定目錄交互的所有一切


1.  #  lsof  /var/log/messages/

3.  COMMAND    PID USER   FD   TYPE DEVICE   SIZE   NODE NAME
4.  syslog-ng 7547 root 4w REG 3,3  217309  834024  /var/log/messages

顯示與指定文件交互的所有一切


1.  #  lsof  /home/daniel/firewall_whitelist.txt

高級(jí)用法

與tcpdump類似，當(dāng)你開(kāi)始組合查詢時(shí)，它就顯示了它強(qiáng)大的功能。

顯示daniel連接到1.1.1.1所做的一切


1.  #  lsof  -u daniel -i @1.1.1.1

3.  bkdr 1893 daniel 3u  IPv6  3456 TCP 10.10.1.10:1234->1.1.1.1:31337  (ESTABLISHED)

同時(shí)使用-t和-c選項(xiàng)以給進(jìn)程發(fā)送 HUP 信號(hào)


1.  #  kill  -HUP `lsof -t -c sshd`

lsof +L1顯示所有打開(kāi)的鏈接數(shù)小于1的文件

這通常（當(dāng)不總是）表示某個(gè)攻擊者正嘗試通過(guò)刪除文件入口來(lái)隱藏文件內(nèi)容。


1.  #  lsof  +L1

3.  (hopefully nothing)

顯示某個(gè)端口范圍的打開(kāi)的連接


1.  #  lsof  -i @fw.google.com:2150=2180

結(jié)尾

本入門(mén)教程只是管窺了lsof功能的一斑，要查看完整參考，運(yùn)行man lsof命令或查看在線版本。希望本文對(duì)你有所助益，也隨時(shí)歡迎你的評(píng)論和指正。

資源

本文由 Daniel Miessler撰寫(xiě)，首次在他博客上貼出

一般root用戶才能執(zhí)行l(wèi)sof命令，普通用戶可以看見(jiàn)/usr/sbin/lsof命令，
但是普通用戶執(zhí)行會(huì)顯示“permission denied”

我總結(jié)一下lsof指令的用法：

lsof abc.txt 顯示開(kāi)啟文件abc.txt的進(jìn)程

lsof -i :22 知道22端口現(xiàn)在運(yùn)行什么程序

lsof -c abc 顯示abc進(jìn)程現(xiàn)在打開(kāi)的文件

lsof -g gid 顯示歸屬gid的進(jìn)程情況

lsof +d /usr/local/ 顯示目錄下被進(jìn)程開(kāi)啟的文件

lsof +D /usr/local/ 同上，但是會(huì)搜索目錄下的目錄，時(shí)間較長(zhǎng)

lsof -d 4 顯示使用fd為4的進(jìn)程 www.2cto.com

lsof -i 用以顯示符合條件的進(jìn)程情況

語(yǔ)法: lsof -i[46] [protocol][@hostname|hostaddr][:service|port]

46 --> IPv4 or IPv6

protocol --> TCP or UDP

hostname --> Internet host name

hostaddr --> IPv4位置

service --> /etc/service中的 service name (可以不只一個(gè))

port --> 端口號(hào) (可以不只一個(gè))

例子: TCP:25 - TCP and port 25

@1.2.3.4 - Internet IPv4 host address 1.2.3.4

tcp@ohaha.ks.edu.tw:ftp - TCP protocol hosthaha.ks.edu.tw service name:ftp

lsof -n 不將IP轉(zhuǎn)換為hostname，缺省是不加上-n參數(shù)

例子: lsof -i tcp@ohaha.ks.edu.tw:ftp -n

lsof -p 12 看進(jìn)程號(hào)為12的進(jìn)程打開(kāi)了哪些文件

lsof +|-r [t] 控制lsof不斷重復(fù)執(zhí)行，缺省是15s刷新

-r，lsof會(huì)永遠(yuǎn)不斷的執(zhí)行，直到收到中斷信號(hào)

+r，lsof會(huì)一直執(zhí)行，直到?jīng)]有檔案被顯示

例子：不斷查看目前ftp連接的情況：lsof -i tcp@ohaha.ks.edu.tw:ftp -r

lsof -s 列出打開(kāi)文件的大小，如果沒(méi)有大小，則留下空白

lsof -u username 以UID，列出打開(kāi)的文件 www.2cto.com

關(guān)注：
進(jìn)程調(diào)試命令:truss、strace和ltrace
進(jìn)程無(wú)法啟動(dòng)，軟件運(yùn)行速度突然變慢，程序的"SegmentFault"等等都是讓每個(gè)Unix系統(tǒng)用戶頭痛的問(wèn)題，而這些問(wèn)題都可以通過(guò)使用truss、strace和ltrace這三個(gè)常用的調(diào)試工具來(lái)快速診斷軟件的"疑難雜癥"。

?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者
【社區(qū)內(nèi)容提示】社區(qū)部分內(nèi)容疑似由AI輔助生成，瀏覽時(shí)請(qǐng)結(jié)合常識(shí)與多方信息審慎甄別。
平臺(tái)聲明：文章內(nèi)容（如有圖片或視頻亦包括在內(nèi)）由作者上傳并發(fā)布，文章內(nèi)容僅代表作者本人觀點(diǎn)，簡(jiǎn)書(shū)系信息發(fā)布平臺(tái)，僅提供信息存儲(chǔ)服務(wù)。

相關(guān)閱讀更多精彩內(nèi)容

  • linux資料總章2.1 1.0寫(xiě)的不好抱歉 但是2.0已經(jīng)改了很多 但是錯(cuò)誤還是無(wú)法避免 以后資料會(huì)慢慢更新 大...
    數(shù)據(jù)革命閱讀 13,333評(píng)論 2贊 33
  • 簡(jiǎn)介 用簡(jiǎn)單的話來(lái)定義tcpdump，就是：dump the traffic on a network，根據(jù)使用者...
    保川閱讀 6,088評(píng)論 1贊 13
  • 18.1 引言 TCP是一個(gè)面向連接的協(xié)議。無(wú)論哪一方向另一方發(fā)送數(shù)據(jù)之前，都必須先在雙方之間建立一條連接。本章將...
    張芳濤閱讀 3,536評(píng)論 0贊 13
  • Spring Cloud為開(kāi)發(fā)人員提供了快速構(gòu)建分布式系統(tǒng)中一些常見(jiàn)模式的工具（例如配置管理，服務(wù)發(fā)現(xiàn)，斷路器，智...
    卡卡羅2017閱讀 136,692評(píng)論 19贊 139
  • 本文是對(duì)于昨天課程的一個(gè)復(fù)盤(pán)，主要從五個(gè)方面闡述如何利用買(mǎi)基金積攢一輩子的財(cái)富。1.為什么是基金？2.買(mǎi)什么基金？...
    smallfen閱讀 2,183評(píng)論 8贊 46

友情鏈接更多精彩內(nèi)容