1.lsof簡介

    lsof（list open files）是一個(gè)列出當(dāng)前系統(tǒng)打開文件的工具。在linux環(huán)境下，任何事物都以文件的形式存在，通過文件不僅僅可以訪問常規(guī)數(shù)據(jù)，還可以訪問網(wǎng)絡(luò)連接和硬件。所以如傳輸控制協(xié)議 (TCP) 和用戶數(shù)據(jù)報(bào)協(xié)議 (UDP) 套接字等，系統(tǒng)在后臺(tái)都為該應(yīng)用程序分配了一個(gè)文件描述符，無論這個(gè)文件的本質(zhì)如何，該文件描述符為應(yīng)用程序與基礎(chǔ)操作系統(tǒng)之間的交互提供了通用接口。因?yàn)閼?yīng)用程序打開文件的描述符列表提供了大量關(guān)于這個(gè)應(yīng)用程序本身的信息，因此通過lsof工具能夠查看這個(gè)列表對(duì)系統(tǒng)監(jiān)測以及排錯(cuò)將是很有幫助的。

2.lsof輸出信息含有

    在終端下輸入lsof即可顯示系統(tǒng)打開的文件，因?yàn)?nbsp;lsof 需要訪問核心內(nèi)存和各種文件，所以必須以 root 用戶的身份運(yùn)行它才能夠充分地發(fā)揮其功能。例如:lsof | grep “nginx” 只要nginx開啟就能找到nginx打開的文件,相反nginx停止了那么是得不到相關(guān)信息的.

我們可以看到總共有9列,每列含有如下:

    comand: 進(jìn)程名稱

    pid: 進(jìn)程標(biāo)識(shí)符

    user: 進(jìn)程所有者

    fd: 文件描述符,應(yīng)用程序通過文件描述符識(shí)別該文件.如:cwd/txt

    type: 文件類型,如DIR/REG

    device: 指定磁盤的名稱

size: 文件大小

node: 索引節(jié)點(diǎn)(文件在磁盤上的標(biāo)識(shí))

name: 打開文件的確切名稱

3.常見參數(shù)(具體可查看man手冊(cè))

lsof filename  顯示打開指定文件的所有進(jìn)程

lsof -a        表示兩個(gè)參數(shù)都必須滿足時(shí)才顯示結(jié)果  lsof -a -u root -d txt

lsof -c string   顯示command列中包含指定字符的進(jìn)程打開的文件

lsof -u username顯示所屬用戶打開的文件

lsof -g gid      顯示對(duì)應(yīng)gid的進(jìn)程情況

lsof +d /目錄    顯示目錄下被進(jìn)程打開的文件

lsof +D /目錄   顯示目錄和子目錄下進(jìn)程打開的文件

lsof -d fd      顯示指定文件描述符的進(jìn)程

lsof -i         顯示符合條件的進(jìn)程情況：如lsof -i tcp:80 查看端口被那個(gè)程序應(yīng)用

4.當(dāng)Linux計(jì)算機(jī)受到入侵時(shí)，常見的情況是日志文件被刪除，以掩蓋攻擊者的蹤跡。管理錯(cuò)誤也可能導(dǎo)致意外刪除重要的文件，比如在清理舊日志時(shí)，意外地刪除了數(shù)據(jù)庫的活動(dòng)事務(wù)日志。有時(shí)可以通過lsof來恢復(fù)這些文件。 

    當(dāng)進(jìn)程打開了某個(gè)文件時(shí)，只要該進(jìn)程保持打開該文件，即使將其刪除，它依然存在于磁盤中。這意味著，進(jìn)程并不知道文件已經(jīng)被刪除，它仍然可以向打開該文件時(shí)提供給它的文件描述符進(jìn)行讀取和寫入。除了該進(jìn)程之外，這個(gè)文件是不可見的，因?yàn)橐呀?jīng)刪除了其相應(yīng)的目錄索引節(jié)點(diǎn)。 

在/proc 目錄下，其中包含了反映內(nèi)核和進(jìn)程樹的各種文件。/proc目錄掛載的是在內(nèi)存中所映射的一塊區(qū)域，所以這些文件和目錄并不存在于磁盤中，因此當(dāng)我們對(duì)這些文件進(jìn)行讀取和寫入時(shí)，實(shí)際上是在從內(nèi)存中獲取相關(guān)信息。大多數(shù)與 lsof 相關(guān)的信息都存儲(chǔ)于以進(jìn)程的 PID 命名的目錄中，即 /proc/1234 中包含的是 PID 為 1234 的進(jìn)程的信息。每個(gè)進(jìn)程目錄中存在著各種文件，它們可以使得應(yīng)用程序簡單地了解進(jìn)程的內(nèi)存空間、文件描述符列表、指向磁盤上的文件的符號(hào)鏈接和其他系統(tǒng)信息。lsof 程序使用該信息和其他關(guān)于內(nèi)核內(nèi)部狀態(tài)的信息來產(chǎn)生其輸出。所以lsof 可以顯示進(jìn)程的文件描述符和相關(guān)的文件名等信息。也就是我們通過訪問進(jìn)程的文件描述符可以找到該文件的相關(guān)信息。

(1)列如不小心刪除了nginx的訪問日志：/var/log/nginx/access.log,會(huì)顯示deleted

(2)刪除后那么怎樣查看呢？從上面信息可以看到pid 1654打開文件的描述符為5,同時(shí)access.log被標(biāo)記為dedeted。因此我們可以在/proc/1654/fd/5中查看信息。

(3)誤刪除后怎樣恢復(fù)此access.log文件呢？

cat /proc/1654/fd/5 > /var/log/nginx/access.log