1、说明
lsof - list open files
lsof [options] filename
在linux环境下，任何事物都以文件的形式（进程除外）存在，通过文件不仅仅可以访问常规数据，还可以访问网络连接和硬件。内核为文件分配一个文件描述符，该文件描述符为应用程序与基础操作系统之间的交互提供了通用接口。
1）结果展示
① FD：文件描述符，应用程序通过文件描述符识别文件。如cwd、txt等
② TYPE：文件类型，如DIR、REG等
③ DEVICE：指定磁盘的名称
④ SIZE：文件的大小
⑤ NODE：索引节点（文件在磁盘上的标识）
⑥ NAME：打开文件的确切名称
2）FD中，u表示该文件被打开并处于读取/写入模式，而不是只读 r 或只写 (w) 模式。同时还有大写 的W 表示该应用程序具有对整个文件的写 锁。该文件描述符用于确保每次只能打开一个应用程序实例。初始打开每个应用程序时，都具有三个文件描述符，从0到2，分别表示标准输入、输出和错误流。所以大多数应用程序所打开的文件的FD都是从 3 开始。
2、option
| lsof filename | 显示打开指定文件的所有进程 |
| lsof -a | 表示两个参数都必须满足时才显示结果 |
| lsof -c string | 显示COMMAND列中包含指定字符的进程所有打开的文件 |
| lsof -u username | 显示所属user进程打开的文件 |
| lsof -p pid | 显示归属pid的进程情况 |
| lsof +d /DIR/ | 显示目录下被进程打开的文件 |
| lsof +D /DIR/ | 同上，但是会搜索目录下的所有目录，时间相对较长 |
| lsof -d FD | 显示指定文件描述符的进程 |
| -s | 列出文件的大小，若该文件没有大小，则留下空白 |
| +|-L[l] | +或-表示正在打开或取消显示文件连结数。若只有单纯的+L，后面没有任何数字，则表示显示全部。若其后有加上数字，只有文件连结数少于该数字的会被列出。 |
| lsof -n | 不将IP转换为hostname，缺省是不加上-n参数 |
| lsof -i | 用以显示符合条件的进程情况 |
| lsof -i[46][protocol][@hostname|hostaddr][:service|port] 46 --> IPv4 or IPv6 protocol --> TCP or UDP hostname --> Internet host name hostaddr --> IPv4地址 service --> /etc/service中的 service name (可以不只一个) port --> 端口号 (可以不只一个) | |
3、示例
1）lsof -i :22 //查看22端口的运行情况
2）通过lsof恢复删除的文件
当进程打开了某个文件时，只要该进程保持打开该文件，即使将其删除，它依然存在于磁盘中。这意味着，进程并不知道文件已经被删除，它仍然可以向打开该文件时提供给它的文件描述符进行读取和写入。除了该进程之外，这个文件是不可见的，因为已经删除了其相应的目录索引节点。
在/proc目录下，包含了反映内核和进程树的各种文件。/proc目录挂载的是在内存中所映射的一块区域，所以这些文件和目录并不存在于磁盘中，因此当我们对这些文件进行读取和写入时，实际上是在从内存中获取相关信息。大多数与lsof相关的信息都存储于以进程的PID命名的目录中，即/proc/1234中包含的是PID为1234的进程的信息。每个进程目录中存在着各种文件，它们可以使得应用程序简单地了解进程的内存空间、文件描述符列表、指向磁盘上的文件的符号链接和其他系统信息。lsof程序使用该信息和其他关于内核内部状态的信息来产生其输出。所以lsof可以显示进程的文件描述符和相关的文件名等信息。也就是我们通过访问进程的文件描述符可以找到该文件的相关信息。
当系统中的某个文件被意外地删除了，只要这个时候系统中还有进程正在访问该文件，那么我们就可以通过lsof从/proc目录下恢复该文件的内容。more in【1】。
3）lsof -a -u root -d test
lsof -u root
lsof +d ./
4）lsof -c bash
lsof +p 30297
5）lsof -i@10.65.64.23
6）lsof +L1
A specification of the form ``+L1'' will select open files that have been unlinked.
A specification of the form ``+aL1 <file_system>'' will select unlinked open files on the specified file system.
参考
【1】 更多对于命令的讲解
http://www.cnblogs.com/rootq/articles/1401850.html
【2】 http://blog.chinaunix.net/space.php?uid=24560514&do=blog&id=1644893
【3】 http://hi.baidu.com/171892549/blog/item/b117723e33ba273470cf6cd9.html
http://www.cnblogs.com/motadou/archive/2010/02/11/1667386.html