👪 Команда lsof Linux учебник для начинающих

lsof – это уникальный инструмент сисадминов / безопасников.

Я использую его чаще всего для получения информации о сетевом подключении в системе, но это только начало для этого мощного и слишком малоизвестного приложения.

Инструмент точно называется lsof, потому что он «выводит список открытых файлов».

И помните, в UNIX почти все (включая сетевой сокет) является файлом.

Интересно, что lsof также является командой Linux / Unix с большинством переключателей.

У него их так много, что нужно использовать как минусы, так и плюсы.

usage: [-?abhlnNoOPRstUvV] [+|-c c] [+|-d s] [+D D] [+|-f[cgG]]
 [-F [f]] [-g [s]] [-i [i]] [+|-L [l]] [+|-M] [-o [o]]
 [-p s] [+|-r [t]] [-S [t]] [-T [t]] [-u s] [+|-w] [-x [fl]] [--] [names]

Как видите, у lsof действительно потрясающее количество опций.

Вы можете использовать его для получения информации об устройствах в вашей системе, о том, что касается конкретного пользователя в любой заданной точке, или даже о том, какие файлы или сетевое подключение использует процесс.

Для меня lsof полностью заменяет netstat и ps.

В нем есть все, что я могу получить от этих инструментов, и многое, многое другое.

Итак, давайте посмотрим на некоторые из его основных возможностей:

Ключевые параметры

Важно понять несколько ключевых моментов о том, как работает lsof.

Наиболее важно, когда вы передаете ему параметры, по умолчанию используется все результаты (ИЛИ).

Поэтому, если вы выбираете список портов с -i, а также список процессов с -p, вы по умолчанию получите оба результата.

Вот еще несколько подобных моментов:

по умолчанию: без параметров lsof выводит список всех открытых файлов для активных процессов
группировка: можно группировать параметры, например, -abC, но вы должны следить за тем, какие опции принимают параметры
-a: И результаты (вместо ИЛИ)
-l: показать идентификатор пользователя вместо имени пользователя в выводе
-h: получить помощь
-t: получить только идентификаторы процессов
-U: получить адрес сокета UNIX
-F: вывод готов к другой команде, которую можно отформатировать различными способами, например, -F pcfn (для идентификатора процесса, имени команды, дескриптора файла и имени файла с нулевым терминатором)

Получение информации о сети

Как я уже сказал, один из моих основных вариантов использования lsof – это получение информации о том, как моя система взаимодействует с сетью.

Вот несколько основных моментов для получения этой информации:

Показать все соединения с -i

Некоторым нравится использовать netstat для получения сетевых подключений, но я предпочитаю использовать для этого lsof.

Дисплей показывает вещи в интуитивно понятном для меня формате, и мне нравится знать, что и оттуда, а также я могу просто изменить свой синтаксис и получить больше информации, используя ту же команду.

# lsof -i

COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
dhcpcd 6061 root 4u IPv4 4510 UDP *:bootpc
sshd 7703 root 3u IPv6  6499 TCP *:ssh (LISTEN)
sshd 7892 root 3u IPv6  6757 TCP 10.10.1.5:ssh->192.168.1.5:49901 (ESTABLISHED)

Получить только трафик IPv6 с -i 6

# lsof -i 6

Показать только TCP-соединения (работает так же для UDP)

Вы также можете отображать только соединения TCP или UDP, указав протокол сразу после -i.

# lsof -iTCP

COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
sshd 7703 root 3u IPv6 6499 TCP *:ssh (LISTEN)
sshd 7892 root 3u IPv6 6757 TCP 10.10.1.5:ssh->192.168.1.5:49901 (ESTABLISHED)

Показать сеть, связанную с определенным портом, используя -i: порт

# lsof -i :22

COMMAND  PID USER   FD   TYPE DEVICE SIZE NODE NAME
sshd 7703 root 3u  IPv6 6499 TCP *:ssh (LISTEN)
sshd 7892 root 3u  IPv6 6757 TCP 10.10.1.5:ssh->192.168.1.5:49901 (ESTABLISHED)

Показать соединения с конкретным хостом, используя @host

Это очень полезно, когда вы проверяете, есть ли у вас открытые соединения с данным хостом в сети или в Интернете.

# lsof -i@172.16.12.5

sshd 7892 root 3u IPv6 6757 TCP 10.10.1.5:ssh->172.16.12.5:49901 (ESTABLISHED)

Показать соединения на основе хоста и порта, используя @host: port

Вы также можете комбинировать отображение информации по хосту и порту.

# lsof -i@172.16.12.5:22

sshd 7892 root 3u IPv6 6757 TCP 10.10.1.5:ssh->192.168.1.5:49901 (ESTABLISHED)

Найти прослушиваемые порты

Найдите порты, ожидающие соединения.

# lsof -i -sTCP:LISTEN

Вы также можете сделать это, набрав «LISTEN».

# lsof -i | grep -i LISTEN

iTunes     400 daniel   16u  IPv4 0x4575228  0t0 TCP *:daap (LISTEN)

Найти установленные соединения

Вы также можете показать любые соединения, которые уже закреплены.

# lsof -i -sTCP:ESTABLISHED

Вы также можете сделать это, просто выполнив поиск «ESTABLISHED» в выводе с помощью grep.

# lsof -i | grep -i ESTABLISHED

firefox-b 169 daniel  49u IPv4 0t0 TCP 1.2.3.3:1863->1.2.3.4:http (ESTABLISHED)

Информация о пользователе

Вы также можете получить информацию о различных пользователях и о том, что они делают в системе, включая их активность в сети, их взаимодействие с файлами и т. д.

# lsof -u daniel

-- snipped --
Dock 155 daniel  txt REG   14,2   2798436   823208 /usr/lib/libicucore.A.dylib
Dock 155 daniel  txt REG   14,2   1580212   823126 /usr/lib/libobjc.A.dylib
Dock 155 daniel  txt REG   14,2   2934184   823498 /usr/lib/libstdc++.6.0.4.dylib
Dock 155 daniel  txt REG   14,2    132008   823505 /usr/lib/libgcc_s.1.dylib
Dock 155 daniel  txt REG   14,2    212160   823214 /usr/lib/libauto.dylib
-- snipped -

Показать, что делают все пользователи, кроме определенного пользователя, используя -u ^ user

# lsof -u ^daniel

-- snipped --
Dock 155 jim  txt REG   14,2   2798436   823208 /usr/lib/libicucore.A.dylib
Dock 155 jim  txt REG   14,2   1580212   823126 /usr/lib/libobjc.A.dylib
Dock 155 jim  txt REG   14,2   2934184   823498 /usr/lib/libstdc++.6.0.4.dylib
Dock 155 jim  txt REG   14,2    132008   823505 /usr/lib/libgcc_s.1.dylib
Dock 155 jim  txt REG   14,2    212160   823214 /usr/lib/libauto.dylib
-- snipped --

Остановить “убить” все, что делает данный пользователь

Приятно иметь возможность уничтожать все, что запускается данным пользователем.

# kill -9 `lsof -t -u daniel`

Команды и процессы

Часто бывает полезно узнать, чем занимается данная программа или процесс, и с помощью lsof вы можете сделать это по имени или по идентификатору процесса.

Вот несколько вариантов:

# lsof -c syslog-ng

COMMAND    PID USER   FD   TYPE     DEVICE    SIZE       NODE NAME
syslog-ng 7547 root  cwd    DIR    3,3    4096   2 /
syslog-ng 7547 root  rtd    DIR    3,3    4096   2 /
syslog-ng 7547 root  txt    REG    3,3  113524  1064970 /usr/sbin/syslog-ng
-- snipped --

Посмотрите, что у данного идентификатора процесса открытj, используя -p

# lsof -p 10075

-- snipped --
sshd    10068 root  mem    REG    3,3   34808 850407 /lib/libnss_files-2.4.so
sshd    10068 root  mem    REG    3,3   34924 850409 /lib/libnss_nis-2.4.so
sshd    10068 root  mem    REG    3,3   26596 850405 /lib/libnss_compat-2.4.so
sshd    10068 root  mem    REG    3,3  200152 509940 /usr/lib/libssl.so.0.9.7
sshd    10068 root  mem    REG    3,3   46216 510014 /usr/lib/liblber-2.3
sshd    10068 root  mem    REG    3,3   59868 850413 /lib/libresolv-2.4.so
sshd    10068 root  mem    REG    3,3 1197180 850396 /lib/libc-2.4.so
sshd    10068 root  mem    REG    3,3   22168 850398 /lib/libcrypt-2.4.so
sshd    10068 root  mem    REG    3,3   72784 850404 /lib/libnsl-2.4.so
sshd    10068 root  mem    REG    3,3   70632 850417 /lib/libz.so.1.2.3
sshd    10068 root  mem    REG    3,3    9992 850416 /lib/libutil-2.4.so
-- snipped --

Опция -t возвращает только PID

# lsof -t -c Mail

350

Файлы и каталоги

Просматривая данный файл или каталог, вы можете увидеть, что с ним взаимодействует в системе, включая пользователей, процессы и т. д.

# lsof /var/log/messages/

COMMAND    PID USER   FD   TYPE DEVICE   SIZE   NODE NAME
syslog-ng 7547 root    4w   REG    3,3 217309 834024 /var/log/messages

Показать все, что взаимодействует с данным файлом

# lsof /home/daniel/firewall_whitelist.txt

Расширенное использование

Подобно tcpdump, мощность lsof действительно проявляется, когда вы начинаете комбинировать запросы.

# lsof -u daniel -i @1.1.1.1

bkdr   1893 daniel 3u  IPv6 3456 TCP 10.10.1.10:1234->1.1.1.1:31337 (ESTABLISHED)

Совместное использование параметров -t и -c для процессов HUP

# kill -HUP `lsof -t -c sshd`

Показать открытые соединения с диапазоном портов

# lsof -i @fw.google.com:2150=2180

Заключение

Эти примеры просто нацарапывают на поверхности функциональности lsof.

Для полной справки, запустите man lsof или проверьте онлайн-версию.

Я надеюсь, что статья была полезна для вас, и, как всегда, комментарии и исправления приветствуются.