Linux系统诊断神器：lsof用法学起来！

Answer 1

lsof（list open files）是一个用于查看当前系统文件的工具。在Linux环境下，所有事物均以文件的形式存在，用户通过文件不仅可访问常规数据，还能访问网络连接和硬件，如TCP和UDP套接字等。系统为每个应用程序分配文件描述符，提供大量关于该应用的信息。以下为lsof的关键用法：

命令参数：

-a：列出当前存在的进程；
-c：指定进程所打开的文件；
-g：列出GID号进程详情；
-d：列出占用特定文件号的进程；
+d：列出目录下被打开的文件；
+D：递归列出目录下被打开的文件；
-n：列出使用NFS的文件；
-i：指定条件列出进程；
-p：指定进程号所打开的文件；
-u：列出UID号进程详情；
-h：显示帮助信息；
-v：显示版本信息。

实例讲解：

命令输出各列信息包含：COMMAND（进程名称）、PID（进程标识符）、PPID（父进程标识符）、USER（进程所有者）、PGID（进程所属组）、FD（文件描述符）等。
文件描述符列表包括：cwd（当前工作目录）、txt（程序代码）、lnn（库引用）、er（文件描述符错误信息）、jld（jail目录）、ltx（共享库文本）、mxx（内存映射类型）、m86（DOS合并映射文件）、mem（内存映射文件）、mmap（内存映射设备）、pd（父目录）、rtd（根目录）、tr（内核跟踪文件）、v86（VP/ix映射文件）、0（标准输出）、1（标准输入）、2（标准错误）。
文件状态模式指示文件的读写模式（u、r、w）、锁定状态（-、空格）以及相关锁类型（N、r、R、w、W、u、U、x、X、space）。
文件类型表示目录（DIR）、字符类型（CHR）、块设备（BLK）、UNIX域套接字（UNIX）、先进先出队列（FIFO）、IPv4套接字（IPv4）、指定磁盘名称（DEVICE）、文件大小（SIZE）、索引节点（NODE）、文件名称（NAME）。

可打开文件：

普通文件、目录、网络文件系统文件、字符或设备文件、共享库文件、管道、命名管道、符号链接、网络文件（NFS文件、网络socket、unix域名socket）及其他文件类型。

常规用法：

查找应用程序打开的文件名称和数量，系统管理员可追踪特定应用程序的日志记录位置或跟踪问题。
查看进程篇：指定进程号查看该进程打开的文件；查看文件篇：指定程序查看其打开的文件；查看网络篇：查看所有或指定IP的网络连接；综合篇：结合参数查看特定进程的网络连接及状态。

恢复被删除的日志：

Linux日志默认保存在/var/log下，被入侵者删除日志后，使用lsof命令可查找使用文件的进程PID和文件描述符，进而恢复被删除的日志。

总结：

lsof作为Linux系统诊断工具，允许用户查看核心内存使用情况，获取系统如何使用文件的详细信息。通过简单和高级用法，用户可以收集关于应用程序工作情况的信息，以及在可能损害数据的操作前确保文件未被使用。lsof在查找删除的文件、获取网络连接信息方面表现突出，是功能强大的系统工具。