1、lsof命令简介
lsof是list open files的简称，它的作用主要是列出系统中打开的文件，基本上linux系统中所有的对象都可以看作文件，lsof可以查看用户和进程操作了哪些文件，也可以查看系统中网络的使用情况，以及设备的信息。
在终端下输入lsof命令即可显示系统打开的文件，它访问核心内存和各种文件，需要root用户身份才能发挥其功能。
# lsof COMMAND PID TID USER FD TYPE DEVICE SIZE/OFF NODE NAME systemd 1 root cwd DIR 8,2 4096 2 / systemd 1 root rtd DIR 8,2 4096 2 / systemd 1 root txt REG 8,2 1612152 2893576 /usr/lib/systemd/systemd systemd 1 root mem REG 8,2 20112 2888194 /usr/lib64/libuuid.so.1.3.0 systemd 1 root mem REG 8,2 261456 2888419 /usr/lib64/libblkid.so.1.1.0 systemd 1 root mem REG 8,2 90664 2887685 /usr/lib64/libz.so.1.2.7 systemd 1 root mem REG 8,2 157424 2888172 /usr/lib64/liblzma.so.5.2.2
直接运行lsof，会列出系统中所有打开的文件，每个文件一行，其中每列信息的含有如下：
COMMAND : 进程名称
PID ：进程ID
USER ：进程运行的用户名
FD ：表示文件描述符，如：cwd当前工作目录，mem内存映射文件，mmap内存映射设备，txt应用文本（代码和数据），其次数值表示应用程序的文件描述符，这是打开文件时返回的一个整数，u表示该文件处于读取和写入模式，®为只读，（w）为只写模式，大写W为对整个文件的写锁权限，初始打开一个应用程序时有具有三个文件描述符，从0到2分别表示标准输入，输出和错误输出，所以大多数应用程序打开的文件的PD都是从3开始的
TYPE ：表示文件的类型，如，REG普通文件，DIR目录，CHR字符文件，BLK设备文件，UNIX为Unix套接字，FIFO先进先出队列，IPv4网际协议IP套接字
DEVICE ：文件所在的设备
SIZE ：文件的大小
NODE ：索引节点，文件在磁盘的标识符
NAME ：打开文件的名称
2、lsof查看文件和进程
lsof常用尝试列表：
lsof filename 显示打开指定文件的所有进程
lsof -a 表示两个参数都必须满足时才显示结果
lsof -c string 显示COMMAND列中包含指定字符的进程所有打开的文件
lsof -u username 显示所属user进程打开的文件
lsof -g gid 显示归属gid的进程情况
lsof +d /DIR/ 显示目录下被进程打开的文件
lsof +D /DIR/ 同上，但是会搜索目录下的所有目录，时间相对较长
lsof -d FD 显示指定文件描述符的进程
lsof -n 不将IP转换为hostname，缺省是不加上-n参数
lsof -i 用以显示符合条件的进程情况
lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
46 --> IPv4 or IPv6
protocol --> TCP or UDP
hostname --> Internet host name
hostaddr --> IPv4地址
service --> /etc/service中的 service name (可以不只一个)
port --> 端口号 (可以不只一个)
1）列出某个进程打开的所有文件
lsof -p 1149
2）列出某个用户打开的文件
lsof -u root
3）列出所有不是某个用户打开的文件，也就是取反，在用户名前添加^符号
lsof -u ^root
4）列出某个文件被哪些进程打开使用
lsof /dev/null
5）列出访问某个目录的所有进程
lsof +d /dev/
6）递归列出访问某个目录下所有进程
lsof +D /var/
7）列出某个进程名使用的文件信息
lsof -c dhcpd
3、lsof查看网络信息
lsof也可以查看网络信息，如查看某个端口的使用情况
1）列出所有的网络链接信息
lsof -i
2)只列出某个协议类型的网络链接信息
lsof -i TCP
3）查看某个端口的网络链接状态
lsof -i :67
4）查看链接到某个主机的网络状态
lsof -i @192.168.146.1
5）查看连接到某个主机的特定端口的网络状态
lsof -i @192.168.146.1:80
6）列出当前主机监听的端口
lsof -i -s TCP:LISTEN
-s P:S参数跟着两个字段，协议和状态，中间用冒号隔开，如上表示TCP协议的监听状态，也可以查看处于连接的TCP网络状态：
lsof -i -s TCP:ESTABLISHED
实用的命令：
lsof `which httpd` #列出那个进程使用了apache的执行文件
lsof /dev/cdrom #列出那个进程在使用光驱
lsof -u 1000 #查看UID为1000的用户使用的进程
lsof -i TCP@[url] #查看哪个进程打开了TCP链接到主机的80端口
lsof -i tcp@ -r #不断查看目前tfp链接的情况
4、通过lsof恢复删除的文件
通过lsof恢复已删除的文件，前提条件的是这个文件有程序正在使用，可以通过lsof /path/to/filename能查看到正在使用此文件的程序，下面我们以日志文件message为例实验下：
1）查看使用文件的实用程序
lsof /var/log/messages COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME abrt-watc 671 root 4r REG 8,2 516027 1311595 /var/log/messages rsyslogd 1148 root 6w REG 8,2 516027 1311595 /var/log/messages
2）删除message文件
rm -rf /var/log/messages
3）通过上面查看的进程ID我们在/proc目录下找到该进程的文件目录，然后通过FD，找到FD目录的文件编号，然后对文件进行恢复
如：上面PID为1148那我们先找到/proc目录下进程为1148的目录，然后cd到FD目录下，上面FD显示文件使用6w打开，表示在6文件中以锁的方式打开
cd /proc/1148/fd
查看下6文件中的文件内容，是不是和之前删除的文件一样呢：
tail -n 10 6
下面开始通过命令恢复：
cat /proc/1148/fd/6 >/var/log/messages