lsof使用实例
一、查找谁在使用文件系统
在卸载文件系统时,假如该文件系统中有任何打开的文件,操作一般将会失败。这么通过lsof可以找出这些进程在使用当前要卸载的文件系统,如下:
#lsof/GTES11/
COMMANDPIDUSERFDTYPEDEVICESIZENODENAME
bash4208rootcwdDIR3,140962/GTES11/
vim4230rootcwdDIR3,140962/GTES11/
在这个示例中,用户root正在其/GTES11目录中进行一些操作。一个bash是实例正在运行查看系统版本linux,但是它当前的目录为/GTES11,另一个则显示的是vim正在编辑/GTES11下的文件。要成功地卸载/GTES11linux开发培训,应当在通知用户以确保情况正常以后,终止那些进程。这个示例说明了应用程序的当前工作目录十分重要,由于它仍保持着文件资源,而且可以避免文件系统被卸载。这就是为何大部份守护进程(后台进程)将它们的目录修改为根目录、或服务特定的目录(如sendmail示例中的/var/spool/mqueue)的诱因,以防止该守护进程制止卸载不相关的文件系统。
二、恢复删掉的文件
当Linux计算机遭到入侵时,常见的情况是日志文件被删掉,以掩藏功击者的踪迹。管理错误也可能造成意外删掉重要的文件,例如在清除旧日志时,意外地删掉了数据库的活动事务日志。有时可以通过lsof来恢复那些文件。
当进程打开了某个文件时,只要该进程保持打开该文件,虽然将其删掉,它仍然存在于c盘中。这意味着linux 文件描述符,进程并不晓得文件早已被删掉,它依然可以向打开该文件时提供给它的文件描述符进行读取和写入。不仅该进程之外,这个文件是不可见的,由于早已删掉了其相应的目录索引节点。
在/proc目录下,其中包含了反映内核和进程树的各类文件。/proc目录挂载的是在显存中所映射的一块区域,所以这种文件和目录并不存在于c盘中,因而当我们对那些文件进行读取和写入时,实际上是在从显存中获取相关信息。大多数与lsof相关的信息都储存于以进程的PID命名的目录中,即/proc/1234中包含的是PID为1234的进程的信息。每位进程目录中存在着各类文件,它们可以促使应用程序简单地了解进程的显存空间、文件描述符列表、指向c盘上的文件的符号链接和其他系统信息。lsof程序使用该信息和其他关于内核内部状态的信息来形成其输出。所以lsof可以显示进程的文件描述符和相关的文件名等信息。也就是我们通过访问进程的文件描述符可以找到该文件的相关信息。
当系统中的某个文件被意外地删掉了,只要这个时侯系统中还有进程正在访问该文件linux 文件描述符,这么我们就可以通过lsof从/proc目录下恢复该文件的内容。如果因为误操作将/var/log/messages文件删掉掉了,这么这时要将/var/log/messages文件恢复的方式如下:
首先使用lsof来查看当前是否有进程打开/var/logmessages文件,如下:
#lsof|grep/var/log/messages
syslogd1283root2wREG3,353810171773647/var/log/messages(deleted)
从里面的信息可以看见PID1283(syslogd)打开文件的文件描述符为2。同时还可以见到/var/log/messages早已标记被删掉了。因而我们可以在/proc/1283/fd/2(fd下的每位以数字命名的文件表示进程对应的文件描述符)中查看相应的信息,如下:
#head-n10/proc/1283/fd/2
Aug413:50:15holmes86syslogd1.4.1:restart.
Aug413:50:15holmes86kernel:klogd1.4.1,logsource=/proc/kmsgstarted.
Aug413:50:15holmes86kernel:Linuxversion2.6.22.1-8()(gccversion4.2.0)#1SMPWedJul1811:18:32EDT2007
Aug413:50:15holmes86kernel:BIOS-providedphysicalRAMmap:
Aug413:50:15holmes86kernel:BIOS-e820:00000-9f000(usable)
Aug413:50:15holmes86kernel:BIOS-e820:9f000-a0000(reserved)
Aug413:50:15holmes86kernel:BIOS-e820:00000-000000001f7d3800(usable)
Aug413:50:15holmes86kernel:BIOS-e820:000000001f7d3800-00000(reserved)
Aug413:50:15holmes86kernel:BIOS-e820:00000000e0000000-00000000f0007000(reserved)
Aug413:50:15holmes86kernel:BIOS-e820:00000000f0008000-00000000f000c000(reserved)
从里面的信息可以看出,查看/proc/8663/fd/15就可以得到所要恢复的数据。假如可以通过文件描述符查看相应的数据,这么就可以使用I/O重定向将其复制到文件中,如:
cat/proc/1283/fd/2>/var/log/messages
对于许多应用程序,尤其是日志文件和数据库,这些恢复删掉文件的方式十分有用。
文章评论