lsof使用实例
一、查找谁在使用文件系统
在卸载文件系统时，假如该文件系统中有任何打开的文件，操作一般将会失败。这么通过lsof可以找出这些进程在使用当前要卸载的文件系统，如下：
#lsof/GTES11/
COMMANDPIDUSERFDTYPEDEVICESIZENODENAME
bash4208rootcwdDIR3,140962/GTES11/
vim4230rootcwdDIR3,140962/GTES11/
在这个示例中，用户root正在其/GTES11目录中进行一些操作。一个bash是实例正在运行查看系统版本linux，但是它当前的目录为/GTES11，另一个则显示的是vim正在编辑/GTES11下的文件。要成功地卸载/GTES11linux开发培训，应当在通知用户以确保情况正常以后，终止那些进程。这个示例说明了应用程序的当前工作目录十分重要，由于它仍保持着文件资源，而且可以避免文件系统被卸载。这就是为何大部份守护进程（后台进程）将它们的目录修改为根目录、或服务特定的目录（如sendmail示例中的/var/spool/mqueue）的诱因，以防止该守护进程制止卸载不相关的文件系统。
二、恢复删掉的文件
当Linux计算机遭到入侵时，常见的情况是日志文件被删掉，以掩藏功击者的踪迹。管理错误也可能造成意外删掉重要的文件，例如在清除旧日志时，意外地删掉了数据库的活动事务日志。有时可以通过lsof来恢复那些文件。
当进程打开了某个文件时，只要该进程保持打开该文件，虽然将其删掉，它仍然存在于c盘中。这意味着linux 文件描述符，进程并不晓得文件早已被删掉，它依然可以向打开该文件时提供给它的文件描述符进行读取和写入。不仅该进程之外，这个文件是不可见的，由于早已删掉了其相应的目录索引节点。
在/proc目录下，其中包含了反映内核和进程树的各类文件。/proc目录挂载的是在显存中所映射的一块区域，所以这种文件和目录并不存在于c盘中，因而当我们对那些文件进行读取和写入时，实际上是在从显存中获取相关信息。大多数与lsof相关的信息都储存于以进程的PID命名的目录中，即/proc/1234中包含的是PID为1234的进程的信息。每位进程目录中存在着各类文件，它们可以促使应用程序简单地了解进程的显存空间、文件描述符列表、指向c盘上的文件的符号链接和其他系统信息。lsof程序使用该信息和其他关于内核内部状态的信息来形成其输出。所以lsof可以显示进程的文件描述符和相关的文件名等信息。也就是我们通过访问进程的文件描述符可以找到该文件的相关信息。
当系统中的某个文件被意外地删掉了，只要这个时侯系统中还有进程正在访问该文件linux 文件描述符，这么我们就可以通过lsof从/proc目录下恢复该文件的内容。如果因为误操作将/var/log/messages文件删掉掉了，这么这时要将/var/log/messages文件恢复的方式如下：
首先使用lsof来查看当前是否有进程打开/var/logmessages文件，如下：
#lsof|grep/var/log/messages
syslogd1283root2wREG3,353810171773647/var/log/messages(deleted)
从里面的信息可以看见PID1283（syslogd）打开文件的文件描述符为2。同时还可以见到/var/log/messages早已标记被删掉了。因而我们可以在/proc/1283/fd/2（fd下的每位以数字命名的文件表示进程对应的文件描述符）中查看相应的信息，如下：
#head-n10/proc/1283/fd/2
Aug413:50:15holmes86syslogd1.4.1:restart.
Aug413:50:15holmes86kernel:klogd1.4.1,logsource=/proc/kmsgstarted.
Aug413:50:15holmes86kernel:Linuxversion2.6.22.1-8()(gccversion4.2.0)#1SMPWedJul1811:18:32EDT2007
Aug413:50:15holmes86kernel:BIOS-providedphysicalRAMmap:
Aug413:50:15holmes86kernel:BIOS-e820:00000-9f000(usable)
Aug413:50:15holmes86kernel:BIOS-e820:9f000-a0000(reserved)
Aug413:50:15holmes86kernel:BIOS-e820:00000-000000001f7d3800(usable)
Aug413:50:15holmes86kernel:BIOS-e820:000000001f7d3800-00000(reserved)
Aug413:50:15holmes86kernel:BIOS-e820:00000000e0000000-00000000f0007000(reserved)
Aug413:50:15holmes86kernel:BIOS-e820:00000000f0008000-00000000f000c000(reserved)
从里面的信息可以看出，查看/proc/8663/fd/15就可以得到所要恢复的数据。假如可以通过文件描述符查看相应的数据，这么就可以使用I/O重定向将其复制到文件中，如:
cat/proc/1283/fd/2>/var/log/messages
对于许多应用程序，尤其是日志文件和数据库，这些恢复删掉文件的方式十分有用。
文章评论