在linux环境下，任何事物都以文件的形式存在，通过文件不仅仅可以访问常规数据，还可以访问网络连接和硬件。而 lsof（list open files），是linux下一个不常用的命令，可以列出当前系统打开文件的工具。
所以，lsof的功能很强大。
在终端下输入lsof即可显示系统打开的文件，因为 lsof 需要访问核心内存和各种文件，所以必须以 root 用户的身份运行它才能够充分地发挥其功能。
[root@localhost ~]# lsof
COMMAND PID TID USER FD TYPE DEVICE SIZE/OFF NODE NAME
systemd 1 root cwd DIR 253,0 4096 128 /
systemd 1 root rtd DIR 253,0 4096 128 /
systemd 1 root txt REG 253,0 1523624 25515040 /usr/lib/systemd/systemd
systemd 1 root mem REG 253,0 20064 17184745 /usr/lib64/libuuid.so.1.3.0
systemd 1 root mem REG 253,0 265600 17265251 /usr/lib64/libblkid.so.1.1.0
systemd 1 root mem REG 253,0 90664 16850731 /usr/lib64/libz.so.1.2.7
systemd 1 root mem REG 253,0 157424 16850733 /usr/lib64/liblzma.so.5.2.2
systemd 1 root mem REG 253,0 23968 16851830 /usr/lib64/libcap-ng.so.0.0.0
systemd 1 root mem REG 253,0 19888 16851751 /usr/lib64/libattr.so.1.1.0
systemd 1 root mem REG 253,0 19776 17265184 /usr/lib64/libdl-2.17.so
systemd 1 root mem REG 253,0 402384 17265263 /usr/lib64/libpcre.so.1.2.0
systemd 1 root mem REG 253,0 2127336 17265178 /usr/lib64/libc-2.17.so
systemd 1 root mem REG 253,0 144792 17265204 /usr/lib64/libpthread-2.17.so
systemd 1 root mem REG 253,0 88776 17184743 /usr/lib64/libgcc_s-4.8.5-20150702.so.1
systemd 1 root mem REG 253,0 44448 17265208 /usr/lib64/librt-2.17.so
每行显示一个打开的文件，若不指定条件默认将显示所有进程打开的所有文件。
lsof输出各列信息的意义如下：
| 命令 | 描述 |
|---|---|
| COMMAND | 进程的名称 |
| PID | 进程标识符 |
| USER | 进程所有者 |
| FD | 文件描述符，应用程序通过文件描述符识别该文件。如cwd、txt等 |
| TYPE | 文件类型，如DIR、REG等 |
| DEVICE | 指定磁盘的名称 |
| SIZE | 文件的大小 |
| NODE | 索引节点（文件在磁盘上的标识） |
| NAME | 打开文件的确切名称 |
文件描述符列表：
- cwd：表示 current work dirctory，即：应用程序的当前工作目录，这是该应用程序启动的目录，除非它本身对这个目录进行更改
- txt：该类型的文件是程序代码，如应用程序二进制文件本身或共享库，如上列表中显示的 /sbin/init 程序
- lnn：library references (AIX);
- er：FD information error (see NAME column);
- jld：jail directory (FreeBSD);
- ltx：共享库 (代码或数据);
- mxx ：十六进制内存映射类型 XX是序号.
- m86：DOS Merge mapped file;
- mem：内存映射文件;
- mmap：memory-mapped device;
- pd：parent directory;
- rtd：root directory;
- tr：kernel trace file (OpenBSD);
- v86 VP/ix mapped file;
- 0：表示标准输出
- 1：表示标准输入
- 2：表示标准错误
一般在标准输出、标准错误、标准输入后还跟着文件状态模式：
- u：表示该文件被打开并处于读取/写入模式。
- r：表示该文件被打开并处于只读模式。
- w：表示该文件被打开并处于。
- 空格：表示该文件的状态模式为unknow，且没有锁定。
- -：表示该文件的状态模式为unknow，且被锁定。
同时在文件状态模式后面，还跟着相关的锁：
- N：for a Solaris NFS lock of unknown type;
- r：for read lock on part of the file;
- R：for a read lock on the entire file;
- w：for a write lock on part of the file;（文件的部分写锁）
- W：for a write lock on the entire file;（整个文件的写锁）
- u：for a read and write lock of any length;
- U：for a lock of unknown type;
- x：for an SCO OpenServer Xenix lock on part of the file;
- X：for an SCO OpenServer Xenix lock on the entire file;
- space：if there is no lock.
文件类型：
- DIR：表示目录。
- CHR：表示字符类型。
- BLK：块设备类型。
- UNIX： UNIX 域套接字。
- FIFO：先进先出 (FIFO) 队列。
- IPv4：网际协议 (IP) 套接字。
- DEVICE：指定磁盘的名称
- SIZE：文件的大小
- NODE：索引节点（文件在磁盘上的标识）
- NAME：打开文件的确切名称
选项
-a：列出打开文件存在的进程；
-c<进程名>：列出指定进程所打开的文件；
-g：列出GID号进程详情；
-d<文件号>：列出占用该文件号的进程；
+d<目录>：列出目录下被打开的文件；
+D<目录>：递归列出目录下被打开的文件；
-n<目录>：列出使用NFS的文件；
-i<条件>：列出符合条件的进程。（4、6、协议、:端口、 @ip ）
-p<进程号>：列出指定进程号所打开的文件；
-u：列出UID号进程详情；
-h：显示帮助信息；
-v：显示版本信息。
lsof 指令使用示例：
lsof aa 显示开启文件aa的进程
lsof -n /var/www 查找谁在使用 /var/www
lsof -i :22 知道22端口被哪个进程占用
lsof -c abc 显示abc进程现在打开的文件
lsof -g gid 显示归属gid的进程情况
lsof -n 不将IP转换为hostname，缺省是不加上-n参数
lsof -p 12 看进程号为12的进程打开了哪些文件
lsof -u username 查看用户打开哪些文件
lsof -i @192.168.1.111 查看远程已打开的网络连接（连接到192.168.1.111）
lsof -i 用以显示符合条件的进程情况
语法: lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
46 -> IPv4 or IPv6
protocol -> TCP or UDP
hostname -> Internet host name
hostaddr -> IPv4位置
service -> /etc/service中的 service name (可以不只一个)
port -> 端口号 (可以不只一个)
lsof +|-r [t] 控制lsof不断重复执行，缺省是15s刷新
-r，lsof会永远不断的执行，直到收到中断信号
+r，lsof会一直执行，直到没有档案被显示
例子：不断查看目前ftp连接的情况：lsof -i tcp@192.168.1.111:ftp -r
