本文共 2949 字，大约阅读时间需要 9 分钟。
lsof, LiSt Opened Files, 列出打开的文件, 听起来很简单的样子. 但想*nix中很多其他工具一样, lsof把这件简单的事情做到了炉火纯青. 因为Unix认为”一切皆文件”, 那么”打开的文件”就不仅仅是传统意义上打开的文件了, 还可以是网络/Unix域套接字, 匿名/具名管道, 共享库文件, 目录文件, 设备文件等等. 很多场景下, 查看进程或系统打开的文件会给调试带来极大的帮助. 下面简单地介绍lsof常被使用的功能选项.
lsof : 简单地执行lsof会列出当前系统中所有被打开的文件, 但为了看到完整的信息, 通常需要具有root权限;
lsof -u dutor : 列出用户dutor打开的文件, 可指定多个用户, 默认是OR的关系;
lsof -c tair : 列出名称以tair开头的进程打开的文件, c for command, 可指定多个;
lsof -c /^t.*r$/ : 列出名称以t开头, r结尾的进程打开的文件;
lsof -p 12315 : 列出进程号为12315的进程打开的文件, 可指定多个;
lsof server.log : 列出打开server.log文件的进程, 可指明多个文件;
lsof . : 列出打开当前目录的进程;
lsof +D . : 递归地列出当前目录中被打开的文件, 当然也可以lsof | grep pwd;
lsof -i : 列出打开的套接字;
lsof -i tcp : 列出打开的tcp套接字;
lsof -i :5198 : 列出打开5198端口的进程;
lsof -i :ssh : 列出打开22端口的进程;
lsof -i tcp:5198 : 列出打开5198号tcp端口的进程;
lsof -U : 列出打开Unix域套接字的进程;
lsof -d 0-2 : 列出在0到2文件描述符上打开文件的进程;
lsof -d mem : 列出打开映射文件的进程;
lsof -d txt : 列出打开的可执行文件.
还有其他一些非常有用的选项, 可以对lsof的行为进行控制.
lsof -a: 上述功能性选项可以组合使用, 但默认采用OR逻辑列出, -a选项令lsof使用AND逻辑;
lsof -t: 只列出进程号, 可以借此得到特定的进程列表, 以方便对这些进程的自动处理, 比如kill lsof -t -i :5198会杀死所有打开5198端口的进程;
lsof -r [seconds]: -r选项可以让lsof以一定的时间间隔连续执行, 在监视文件/进程时会非常实用.
sof是系统管理/安全的尤伯工具。我大多数时候用它来从系统获得与网络连接相关的信息，但那只是这个强大而又鲜为人知的应用的第一步。将这个工具称之为lsof真实名副其实，因为它是指“列出打开文件（lists openfiles）”。而有一点要切记，在Unix中一切（包括网络套接口）都是文件。
有趣的是，lsof也是有着最多开关的/Unix命令之一。它有那么多的开关，它有许多选项支持使用-和+前缀。
正如你所见，lsof有着实在是令人惊讶的选项数量。你可以使用它来获得你系统上设备的信息，你能通过它了解到指定的用户在指定的地点正在碰什么东西，或者甚至是一个进程正在使用什么文件或网络连接。
对于我，lsof替代了netstat和ps的全部工作。它可以带来那些工具所能带来的一切，而且要比那些工具多得多。那么，让我们来看看它的一些基本能力吧：
理解一些关于lsof如何工作的关键性东西是很重要的。最重要的是，当你给它传递选项时，默认行为是对结果进行“或”运算。因此，如果你正是用-i来拉出一个端口列表，同时又用-p来拉出一个进程列表，那么默认情况下你会获得两者的结果。
下面的一些其它东西需要牢记：
默认 : 没有选项，lsof列出活跃进程的所有打开文件
组合 : 可以将选项组合到一起，如-abc，但要当心哪些选项需要参数
-a : 结果进行“与”运算（而不是“或”）
-l : 在输出显示用户ID而不是用户名
-h : 获得帮助
-t : 仅获取进程ID
-U : 获取UNIX套接口地址
-F : 格式化输出结果，用于其它命令。可以通过多种方式格式化，如-F pcfn（用于进程id、命令名、文件描述符、文件名，并以空终止）
正如我所说的，我主要将lsof用于获取关于系统怎么和网络交互的信息。这里提供了关于此信息的一些主题：
使用-i显示所有连接
有些人喜欢用netstat来获取网络连接，但是我更喜欢使用lsof来进行此项工作。结果以对我来说很直观的方式呈现，我仅仅只需改变我的语法，就可以通过同样的命令来获取更多信息。
使用-i 6仅获取IPv6流量
仅显示TCP连接（同理可获得UDP连接）
你也可以通过在-i后提供对应的协议来仅仅显示TCP或者UDP连接信息。
使用-i:port来显示与指定端口相关的网络信息
或者，你也可以通过端口搜索，这对于要找出什么阻止了另外一个应用绑定到指定端口实在是太棒了。
使用@host来显示指定到指定主机的连接
这对于你在检查是否开放连接到网络中或互联网上某个指定主机的连接时十分有用。
使用@host:port显示基于主机与端口的连接
你也可以组合主机与端口的显示信息。
找出监听端口
找出正等候连接的端口。
你也可以grep “LISTEN”来完成该任务。
找出已建立的连接
你也可以显示任何已经连接的连接。
你也可以通过grep搜索“ESTABLISHED”来完成该任务。
用户信息
你也可以获取各种用户的信息，以及它们在系统上正干着的事情，包括它们的网络活动、对文件的操作等。
使用-u显示指定用户打开了什么
使用-u user来显示除指定用户以外的其它所有用户所做的事情
杀死指定用户所做的一切事情
可以消灭指定用户运行的所有东西，这真不错。
可以查看指定程序或进程由什么启动，这通常会很有用，而你可以使用lsof通过名称或进程ID过滤来完成这
个任务。下面列出了一些选项：
使用-c查看指定的命令正在使用的文件和网络连接
使用-p查看指定进程ID已打开的内容
-t选项只返回PID
通过查看指定文件或目录，你可以看到系统上所有正与其交互的资源——包括用户、进程等。
显示与指定目录交互的所有一切
显示与指定文件交互的所有一切
与tcpdump类似，当你开始组合查询时，它就显示了它强大的功能。
显示daniel连接到1.1.1.1所做的一切
同时使用-t和-c选项以给进程发送 HUP 信号
lsof +L1显示所有打开的链接数小于1的文件
这通常（当不总是）表示某个攻击者正尝试通过删除文件入口来隐藏文件内容。
显示某个端口范围的打开的连接
本入门教程只是管窥了lsof功能的一斑，要查看完整参考，运行man lsof命令或查看。