lsof（list open files）是一个在 Linux 系统中列出当前打开文件的工具。在 Linux 环境下，任何事物都以文件的形式存在，通过文件不仅可以访问常规数据，还可以访问网络连接和硬件¹。

lsof 的基本用法

要使用 lsof 查看文件，可以在终端中输入以下命令：

常用的选项包括：

• lsof filename：显示打开指定文件的所有进程。

• lsof -a：表示两个参数都必须满足时才显示结果。

• lsof -c string：显示 COMMAND 列中包含指定字符的进程所有打开的文件。

• lsof -u username：显示所属用户进程打开的文件。

• lsof -g gid：显示归属 gid 的进程情况。

• lsof +d /DIR/：显示目录下被进程打开的文件。

• lsof +D /DIR/：同上，但是会搜索目录下的所有目录，时间相对较长。

• lsof -d FD：显示指定文件描述符的进程。

• lsof -n：不将 IP 转换为 hostname，缺省是不加上 -n 参数。

• lsof -i：用以显示符合条件的进程情况¹²。

示例

查看系统中打开的文件

在终端下输入 lsof 即可显示系统中所有打开的文件（需要 root 权限）：

查看某端口运行情况

要查看某个端口的运行情况，可以使用以下命令：

查看某用户打开的文件

要查看 root 用户打开的所有文件，可以使用以下命令：

恢复删除的文件

当进程打开了某个文件时，即使将其删除，它依然存在于磁盘中。可以通过 lsof 恢复这些文件。例如，假如误操作删除了 /var/log/messages 文件，可以使用以下步骤恢复：

1. 使用 lsof 查看当前是否有进程打开 /var/log/messages 文件： lsof | grep /var/log/messages

2. 从输出中找到文件描述符，例如 2，然后查看相应的信息： head -n 10 /proc/1283/fd/2

3. 使用 I/O 重定向将其复制到文件中： cat /proc/1283/fd/2 > /var/log/messages