`
lelong
  • 浏览: 554222 次
  • 性别: Icon_minigender_1
  • 来自: 深圳
社区版块
存档分类
最新评论

Linux 下如何查找指定端口被哪个进程占用 lsof

阅读更多

lsof -i:3306

查看3306端口被谁占用


lsof简介
lsof(list open files)是一个列出当前系统打开文件的工具。在linux环境下,任何事物都以文件的形式存在,通过文件不仅仅可以访问常规数据,还可以访问网络连接 和硬件。所以如传输控制协议 (tcp) 和用户数据报协议 (udp) 套接字等,系统在后台都为该应用程序分配了一个文件描述符,无论这个文件的本质如何,该文件描述符为应用程序与基础操作系统之间的交互提供了通用接口。因 为应用程序打开文件的描述符列表提供了大量关于这个应用程序本身的信息,因此通过lsof工具能够查看这个列表对系统监测以及排错将是很有帮助的。
lsof使用
lsof输出信息含义
在终端下输入lsof即可显示系统打开的文件,因为 lsof 需要访问核心内存和各种文件,所以必须以 root 用户的身份运行它才能够充分地发挥其功能。
command    pid      user   fd      type     device     size       node      name
init       1         root cwd      dir       3,3       1024       2         /
init       1         root rtd      dir       3,3       1024       2         /
init       1         root txt      reg       3,3       38432      1763452 /sbin/init
init       1         root mem      reg       3,3       106114     1091620 /lib/libdl-2.6.so
init       1         root mem      reg       3,3       7560696    1091614 /lib/libc-2.6.so
init       1         root mem      reg       3,3       79460      1091669 /lib/libselinux.so.1
init       1         root mem      reg       3,3       223280     1091668 /lib/libsepol.so.1
init       1         root mem      reg       3,3       564136     1091607 /lib/ld-2.6.so
init       1         root 10u      fifo      0,15                  1309     /dev/initctl
每行显示一个打开的文件,若不指定条件默认将显示所有进程打开的所有文件。lsof输出各列信息的意义如下:
command:进程的名称
pid:进程标识符
user:进程所有者
fd:文件描述符,应用程序通过文件描述符识别该文件。如cwd、txt等
type:文件类型,如dir、reg等
device:指定磁盘的名称
size:文件的大小
node:索引节点(文件在磁盘上的标识)
name:打开文件的确切名称
其中fd 列中的文件描述符cwd 值表示应用程序的当前工作目录,这是该应用程序启动的目录,除非它本身对这个目录进行更改。
txt 类型的文件是程序代码,如应用程序二进制文件本身或共享库,如上列表中显示的 /sbin/init 程序。其次数值表示应用
程序的文件描述符,这是打开该文件时返回的一个整数。如上的最后一行文件/dev/initctl,其文件描述符为 10。u 表示该
文件被打开并处于读取/写入模式,而不是只读 ® 或只写 (w) 模式。同时还有大写 的w 表示该应用程序具有对整个文件的写
锁。该文件描述符用于确保每次只能打开一个应用程序实例。初始打开每个应用程序时,都具有三个文件描述符,从 0 到 2,
分别表示标准输入、输出和错误流。所以大多数应用程序所打开的文件的 fd 都是从 3 开始。
与 fd 列相比,type 列则比较直观。文件和目录分别称为 reg 和 dir。而chr 和 blk,分别表示字符和块设备;
或者 unix、fifo 和 ipv4,分别表示 unix 域套接字、先进先出 (fifo) 队列和网际协议 (ip) 套接字。
lsof常用参数
lsof 常见的用法是查找应用程序打开的文件的名称和数目。可用于查找出某个特定应用程序将日志数据记录到何处,或者正在跟踪某个问题。
例如,linux限制了进程能够打开文件的数目。通常这个数值很大,所以不会产生问题,并且在需要时,应用程序可以请求更大的值(直到某
个上限)。如果你怀疑应用程序耗尽了文件描述符,那么可以使用 lsof 统计打开的文件数目,以进行验证。lsof语法格式是:
lsof [options] filename
常用的参数列表:
lsof filename 显示打开指定文件的所有进程
lsof -a 表示两个参数都必须满足时才显示结果
lsof -c string   显示command列中包含指定字符的进程所有打开的文件
lsof -u username 显示所属user进程打开的文件
lsof -g gid 显示归属gid的进程情况
lsof +d /dir/ 显示目录下被进程打开的文件
lsof +d /dir/ 同上,但是会搜索目录下的所有目录,时间相对较长
lsof -d fd 显示指定文件描述符的进程
lsof -n 不将ip转换为hostname,缺省是不加上-n参数
lsof -i 用以显示符合条件的进程情况
lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
           46 --> ipv4 or ipv6
           protocol --> tcp or udp
           hostname --> internet host name
           hostaddr --> ipv4地址
           service --> /etc/service中的 service name (可以不只一个)
           port --> 端口号 (可以不只一个)
例如: 查看22端口现在运行的情况
# lsof -i :22
command pid user   fd   type device size node name
sshd    1409 root    3u ipv6   5678       tcp *:ssh (listen)
查看所属root用户进程所打开的文件类型为txt的文件:
# lsof -a -u root -d txt
command    pid user fd      type device    size    node name
init       1    root txt       reg    3,3   38432 1763452 /sbin/init
mingetty 1632 root txt       reg    3,3   14366 1763337 /sbin/mingetty
mingetty 1633 root txt       reg    3,3   14366 1763337 /sbin/mingetty
mingetty 1634 root txt       reg    3,3   14366 1763337 /sbin/mingetty
mingetty 1635 root txt       reg    3,3   14366 1763337 /sbin/mingetty
mingetty 1636 root txt       reg    3,3   14366 1763337 /sbin/mingetty
mingetty 1637 root txt       reg    3,3   14366 1763337 /sbin/mingetty
kdm        1638 root txt       reg    3,3 132548 1428194 /usr/bin/kdm
x          1670 root txt       reg    3,3 1716396 1428336 /usr/bin/xorg
kdm        1671 root txt       reg    3,3 132548 1428194 /usr/bin/kdm
startkde 2427 root txt       reg    3,3 645408 1544195 /bin/bash
... ...


lsof使用实例


一、查找谁在使用文件系统
在卸载文件系统时,如果该文件系统中有任何打开的文件,操作通常将会失败。那么通过lsof可以找出那些进程在使用当前要卸载的文件系统,如下:
# lsof /gtes11/
command pid user   fd   type device size node name
bash    4208 root cwd    dir    3,1 4096    2 /gtes11/
vim     4230 root cwd    dir    3,1 4096    2 /gtes11/
在 这个示例中,用户root正在其/gtes11目录中进行一些操作。一个 bash是实例正在运行,并且它当前的目录为/gtes11,另一个则显示的是vim正在编辑/gtes11下的文件。要成功地卸载/gtes11,应该 在通知用户以确保情况正常之后,中止这些进程。 这个示例说明了应用程序的当前工作目录非常重要,因为它仍保持着文件资源,并且可以防止文件系统被卸载。这就是为什么大部分守护进程(后台进程)将它们的 目录更改为根目录、或服务特定的目录(如 sendmail 示例中的 /var/spool/mqueue)的原因,以避免该守护进程阻止卸载不相关的文件系统。

二、恢复删除的文件
当linux计算机受到入侵时,常见的情况是日志文件被删除,以掩盖攻击者的踪迹。管理错误也可能导致意外删除重要的文件,比如在清理旧日志时,意外地删除了数据库的活动事务日志。有时可以通过lsof来恢复这些文件。
当进程打开了某个文件时,只要该进程保持打开该文件,即使将其删除,它依然存在于磁盘中。这意味着,进程并不知道文件已经被删除,它仍然可以向打开该文件时提供给它的文件描述符进行读取和写入。除了该进程之外,这个文件是不可见的,因为已经删除了其相应的目录索引节点。
在/proc 目录下,其中包含了反映内核和进程树的各种文件。/proc目录挂载的是在内存中所映射的一块区域,所以这些文件和目录并不存在于磁盘中,因此当我们对这 些文件进行读取和写入时,实际上是在从内存中获取相关信息。大多数与 lsof 相关的信息都存储于以进程的 pid 命名的目录中,即 /proc/1234 中包含的是 pid 为 1234 的进程的信息。每个进程目录中存在着各种文件,它们可以使得应用程序简单地了解进程的内存空间、文件描述符列表、指向磁盘上的文件的符号链接和其他系统信 息。lsof 程序使用该信息和其他关于内核内部状态的信息来产生其输出。所以lsof 可以显示进程的文件描述符和相关的文件名等信息。也就是我们通过访问进程的文件描述符可以找到该文件的相关信息。
当 系统中的某个文件被意外地删除了,只要这个时候系统中还有进程正在访问该文件,那么我们就可以通过lsof从/proc目录下恢复该文件的内容。 假如由于误操作将/var/log/messages文件删除掉了,那么这时要将/var/log/messages文件恢复的方法如下:
首先使用lsof来查看当前是否有进程打开/var/logmessages文件,如下:
# lsof |grep /var/log/messages
syslogd   1283      root    2w      reg        3,3 5381017    1773647 /var/log/messages (deleted)
从 上面的信息可以看到 pid 1283(syslogd)打开文件的文件描述符为 2。同时还可以看到/var/log/messages已经标记被删除了。因此我们可以在 /proc/1283/fd/2 (fd下的每个以数字命名的文件表示进程对应的文件描述符)中查看相应的信息,如下:
# head -n 10 /proc/1283/fd/2
aug 4 13:50:15 holmes86 syslogd 1.4.1: restart.
aug 4 13:50:15 holmes86 kernel: klogd 1.4.1, log source = /proc/kmsg started.
aug 4 13:50:15 holmes86 kernel: linux version 2.6.22.1-8 (root@everestbuilder.linux-ren.org) (gcc version 4.2.0) #1 smp wed jul 18 11:18:32 edt 2007
aug 4 13:50:15 holmes86 kernel: bios-provided physical ram map:
aug 4 13:50:15 holmes86 kernel: bios-e820: 0000000000000000 - 000000000009f000 (usable)
aug 4 13:50:15 holmes86 kernel: bios-e820: 000000000009f000 - 00000000000a0000 (reserved)
aug 4 13:50:15 holmes86 kernel: bios-e820: 0000000000100000 - 000000001f7d3800 (usable)
aug 4 13:50:15 holmes86 kernel: bios-e820: 000000001f7d3800 - 0000000020000000 (reserved)
aug 4 13:50:15 holmes86 kernel: bios-e820: 00000000e0000000 - 00000000f0007000 (reserved)
aug 4 13:50:15 holmes86 kernel: bios-e820: 00000000f0008000 - 00000000f000c000 (reserved)
从上面的信息可以看出,查看 /proc/8663/fd/15 就可以得到所要恢复的数据。如果可以通过文件描述符查看相应的数据,那么就可以使用 i/o 重定向将其复制到文件中,如:
cat /proc/1283/fd/2 > /var/log/messages
对于许多应用程序,尤其是日志文件和数据库,这种恢复删除文件的方法非常有用。

分享到:
评论

相关推荐

    Linux/window下怎样查看某个端口被哪个程序/进程占用

    本篇将详细讲解在Linux和Windows操作系统下如何查看并管理占用端口的程序。 在Windows系统中,我们可以使用`netstat`命令来查看端口占用情况。`netstat -aon`命令会列出所有活动的连接和监听状态,其中 `-a` 参数...

    查看某端口被什么进程占用的方法

    本文将详细阐述如何查看某端口被哪个进程占用的方法,以及相关的重要知识点。 首先,我们需要理解端口的概念。在计算机网络中,端口是一个逻辑上的标识符,用于区分不同的网络服务。每个端口号通常介于0到65535之间...

    Linux获取指定端口服务信息,获取指定服务器端口号

    使用 `lsof -i :80` 可以看到占用80端口的进程详情。 4. **`ps` 和 `grep` 命令**: 如果你已经有了PID,可以直接用 `ps` 命令查看进程详细信息,如 `ps -ef | grep <PID>`。 了解了这些基础命令后,我们可以结合...

    NC 中端口被占用

    一旦确认了某个端口被占用,下一步就是找出具体是哪个进程占用了该端口,并决定是否需要释放端口。在`netstat`或`lsof`命令的输出结果中,你会看到占用端口的进程的PID(进程标识符)。如果确定需要释放端口,可以...

    linux下查看端口是否被占用以及查看所有端口

    ### Linux下查看端口是否被占用以及查看所有端口 #### 概述 在Linux系统管理中,了解网络端口的使用情况对于诊断网络问题、优化系统性能以及增强网络安全至关重要。本文将详细介绍如何在Linux环境下检查端口是否被...

    根据端口号得到打开该端口号的进程ID

    而在Linux或Unix系统中,我们可以使用`netstat -ntlp`或`lsof -i :端口号`命令来达到相同目的。 在编程环境下,我们可能需要编写代码来实现这个功能。给定的`ProcessorHelper.cpp`和`ProcessorHelper.h`文件可能...

    linux命令 — lsof 查看进程打开那些文件 或者 查看文件给那个进程使用1

    它可以帮助系统管理员、开发者或者普通用户了解系统资源的使用情况,诊断问题,例如查找哪个进程占用了某个文件或网络端口。 **基本用法** `lsof`命令的基本格式是`lsof [options] [filename]`,其中`options`是可...

    centos7 查看端口是否被占用 lsof-4.87-6.el7.x86-64.rpm.7z

    例如,要查看哪些进程占用了特定端口,我们可以运行`lsof -i :端口号`。这里的`:端口号`是指我们要查询的端口,比如`80`代表HTTP服务的默认端口。这将显示所有与该端口相关的进程信息,包括PID(进程ID)、用户、...

    CentOS查询端口占用和清除端口占用的程序

    在清除进程后,我们可以使用 lsof 命令来验证端口占用是否已经释放: lsof -i:8001 如果端口占用已经释放,这条命令将不再显示占用端口 8001 的进程信息。 通过 lsof 和 ps 命令,我们可以快速地查询到占用某个...

    查询占用端口进程

    以下是一些关于“查询占用端口进程”的详细知识点: 1. **端口的概念**:端口是一个逻辑上的标识,用数字表示(0-65535),其中0-1023为知名端口,由系统保留给特定的服务;1024-49151为注册端口,供用户程序使用;...

    Linux命令lsof详解

    5. **`lsof +d /DIR/`**:使用 `+d` 选项可以列出指定目录及其子目录下被打开的所有文件。例如,`lsof +d /usr/local/` 将会列出 `/usr/local` 目录及其子目录下的所有打开的文件。 6. **`lsof +D /DIR/`**:类似于...

    lsof_4.76.tar.gz

    - `lsof +D /path/to/directory`:列出指定目录下所有被打开的文件。 - `lsof -i`:显示网络相关的文件,包括TCP、UDP连接等。 - `lsof -c <command_name>`:列出指定命令名启动的所有进程及其文件。 在日常运维中...

    linux lsof命令详解.docx

    - `+d <directory>`:显示指定目录下被进程打开的文件。 - `+D <directory>`:与 `+d` 类似,但还会递归地搜索子目录。 - `-d <fd>`:显示使用指定文件描述符的进程。 - `-i`:显示与网络相关的文件。 例如,要查看...

    如何解决windows系统和linux系统中端口被占用的问题

    无论是Windows还是Linux系统,在解决端口占用问题时,首先需要明确端口被哪个进程占用,然后找到并结束该进程,最后验证端口是否已被成功释放。对于Windows用户来说,`netstat`和`tasklist`命令是非常有用的工具;而...

    怎么查看80端口占用情况? 如何查看端口占用情况?

    当遇到问题,比如某个服务无法启动,可能是因为其对应的端口被其他进程占用。本篇文章将详细讲解如何查看端口占用情况,特别是针对80端口,因为这个端口通常用于HTTP服务,对于网站的正常运行至关重要。 首先,我们...

    查看linux中某个端口(port)是否被占用的方法

    在检查端口占用时,我们可以利用`lsof`查看哪个进程占用了特定的端口。使用方法如下: ``` lsof -i :端口号 ``` 在这里,`:端口号`是你要检查的端口,例如`lsof -i :80`将显示所有与端口80相关的网络连接。...

    Shell脚本实现根据端口号kill相应进程功能

    由于可能有多个进程占用同一端口,`tail -n 2`确保即使有多个进程也能被处理。 - `$(...)`:命令替换操作符,它会先执行括号中的命令,并将输出结果替换到当前位置。 综合上述命令,整个脚本的意思是:寻找并强制杀...

    lsof-4.87-6.el7.x86_64.rpm

    例如,使用 `lsof +D /path/to/directory` 可以查看指定目录下被哪些进程占用;`lsof +d <device>` 则可查看设备上的文件使用情况。 此外,lsof对于监控系统资源使用也十分有用。配合`grep`命令,我们可以找出占用...

Global site tag (gtag.js) - Google Analytics