Cómo usar el comando lsof de Linux

Indicador de shell en Linux
Fatmawati Achmad Zaenuri / Shutterstock.com

Si todo en Linux es un archivo, tiene que haber más que solo archivos en su disco duro. Este tutorial le mostrará cómo usar lsofpara ver todos los demás dispositivos y procesos que se manejan como archivos.

En Linux, todo es un archivo

La frase citada a menudo de que todo en Linux es un archivo es cierta. Un archivo es una colección de bytes. Cuando se leen en un programa o se envían a una impresora, parecen generar un flujo de bytes. Cuando se escriben a, que aceptan un flujo de bytes.

Muchos otros componentes del sistema aceptan o generan flujos de bytes, como teclados, conexiones de socket, impresoras y procesos de comunicación. Debido a que aceptan, generan o aceptan y generan flujos de bytes, estos dispositivos se pueden manejar, a un nivel muy bajo, como si fueran archivos.

Este concepto de diseño simplificó la implementación del sistema operativo Unix . Significaba que se podía crear un pequeño conjunto de controladores, herramientas y API para manejar una amplia gama de recursos diferentes.

Los archivos de datos y programas que residen en su disco duro son archivos del sistema de archivos antiguos. Podemos usar el lscomando para enumerarlos y conocer algunos detalles sobre ellos.

¿Cómo nos enteramos de todos los demás procesos y dispositivos que se tratan como si fueran archivos? Usamos el lsofcomando. Esto enumera los archivos abiertos en el sistema. Es decir, enumera todo lo que se maneja como si fuera un archivo.

El comando lsof

Muchos de los procesos o dispositivos que lsofpueden informar pertenecen a root o fueron iniciados por root, por lo que deberá usar el sudocomando con lsof.

Y debido a que esta lista será muy larga, la vamos a canalizar less.

sudo lsof | Menos

lsof en una ventana de terminal

Antes de lsofque aparezca la salida, los usuarios de GNOME pueden ver un mensaje de advertencia en la ventana del terminal.

lsof: ADVERTENCIA: no se puede stat () fuse.gvfsd-fusionar el sistema de archivos / run / user / 1000 / gvfs
La información de salida puede estar incompleta.

lsofintenta procesar todos los sistemas de archivos montados. Este mensaje de advertencia se genera porque se lsofha encontrado con un sistema de archivos virtual GNOME (GVFS). Este es un caso especial de un sistema de archivos en el espacio de usuario (FUSE). Actúa como un puente entre GNOME, sus API y el kernel. Nadie, ni siquiera el root, puede acceder a uno de estos sistemas de archivos, aparte del propietario que lo montó (en este caso, GNOME). Puede ignorar esta advertencia.

La salida de lsofes muy amplia. Las columnas más a la izquierda son:

las columnas más a la izquierda de la salida de lsof en una ventana de terminal

Las columnas de la derecha son:

las columnas más a la derecha de la salida lsof en una ventana de terminal

Las lsof columnas

No todas las columnas se aplican a todos los tipos de archivos abiertos. Es normal que algunos de ellos estén en blanco.

  • Comando : el nombre del comando asociado con el proceso que abrió el archivo.
  • PID : Número de identificación del proceso del proceso que abrió el archivo.
  • TID : Número de identificación de la tarea (hilo). Una columna en blanco significa que no es una tarea; es un proceso.
  • Usuario : ID de usuario o nombre del usuario al que pertenece el proceso, o ID de usuario o login de la persona propietaria del directorio en /procdonde lsofencuentra información sobre el proceso.
  • FD : muestra el descriptor de archivo del archivo. Los descriptores de archivo se describen a continuación.
  • Tipo : tipo de nodo asociado al archivo. Los tipos de notas se describen a continuación.
  • Dispositivo : contiene los números de dispositivo, separados por comas, para un carácter especial, especial de bloque, regular, directorio o archivo NFS, o una dirección de referencia del kernel que identifica el archivo. También puede mostrar la dirección base o el nombre del dispositivo de un dispositivo de socket Linux AX.25.
  • Tamaño / Desactivado : muestra el tamaño del archivo o el desplazamiento del archivo en bytes.
  • Nodo : muestra el número de nodo de un archivo local o el número de inodo de un archivo NFS en el host del servidor o el tipo de protocolo de Internet. Puede mostrar STR para una secuencia o la IRQ o el número de inodo de un dispositivo de socket Linux AX.25.
  • Nombre : muestra el nombre del punto de montaje y el sistema de archivos en el que reside el archivo.
Relacionado:  Cómo comprimir o descomprimir archivos desde la terminal de Linux

La columna FD

El descriptor de archivo en la columna FD puede ser una de muchas opciones; la página de manual los  enumera todos .

La entrada de la columna FD puede constar de tres partes: un descriptor de archivo, un carácter de modo y un carácter de bloqueo. Algunos descriptores de archivos comunes son:

  • cwd : directorio de trabajo actual.
  • err : error de información de FD (consulte la columna NAME).
  • ltx : texto de biblioteca compartida (código y datos).
  • m86 : Archivo mapeado de combinación de DOS.
  • mem : archivo mapeado en memoria.
  • mmap : dispositivo mapeado en memoria.
  • pd : directorio principal.
  • rtd : directorio raíz.
  • txt : texto del programa (código y datos)
  • Un número que representa un descriptor de archivo.

El carácter de modo puede ser uno de los siguientes:

  • r : acceso de lectura.
  • w : acceso de escritura.
  • u : Acceso de lectura y escritura.
  • »: Un carácter de espacio, si el modo es desconocido y no hay un carácter de bloqueo.
  • : Modo desconocido y hay un carácter de bloqueo.

El carácter de bloqueo puede ser uno de los siguientes:

  • r : Leer bloqueo en parte del archivo.
  • R : Leer bloqueo en todo el archivo.
  • w : Bloqueo de escritura en parte del archivo.
  • W : Bloqueo de escritura en todo el archivo.
  • u : Bloqueo de lectura y escritura de cualquier longitud.
  • U : tipo de bloqueo desconocido.
  • »: Un carácter de espacio. Sin cerradura.

La columna TIPO

Hay más de 70 entradas que pueden aparecer en la columna TIPO. Algunas entradas comunes que verá son:

  • REG : archivo normal del sistema de archivos.
  • DIR : Directorio.
  • FIFO : Primero en entrar, primero en salir.
  • CHR : Archivo especial de caracteres.
  • BLK : Bloquear archivo especial.
  • INET : toma de Internet.
  • unix : socket de dominio UNIX

Ver procesos que han abierto un archivo

Para ver los procesos que han abierto un archivo determinado, proporcione el nombre del archivo como parámetro para lsof. Por ejemplo, para ver los procesos que han abierto un kern.logarchivo, use este comando:

sudo lsof /var/log/kern.log

sudo lsof /var/log/kern.log en una ventana de terminal

lsofresponde mostrando el proceso único, rsyslogdque fue iniciado por el usuario syslog.

salida lsof en una ventana de terminal

Ver todos los archivos abiertos desde un directorio

Para ver los archivos que se han abierto desde un directorio y los procesos que los abrieron, pase el directorio a lsofcomo parámetro. Debe utilizar la +Dopción (directorio).

Relacionado:  Cómo usar el comando vmstat en Linux

Para ver todos los archivos que están abiertos en el /var/log/directorio, use este comando:

sudo lsof + D / var / log /

sudo lsof + D / var / log / en una ventana de terminal

lsof responde con una lista de todos los archivos abiertos en ese directorio.

salida lsof en una ventana de terminal

Para ver todos los archivos que se han abierto desde el /homedirectorio, use el siguiente comando:

sudo lsof + D / inicio

sudo lsof + D / home en una ventana de terminal

Se /homemuestran los archivos que se han abierto desde el directorio. Tenga en cuenta que con descripciones más cortas en algunas de las columnas, la lista completa es más limitada.

lsof outout en una ventana de terminal

Lista de archivos abiertos por un proceso

Para ver los archivos que han sido abiertos por un proceso en particular, use la -copción (comando). Tenga en cuenta que puede proporcionar más de un término de búsqueda a la lsofvez.

sudo lsof -c ssh -c init

sudo lsof -c ssh -c init en una ventana de terminal

lsof proporciona una lista de los archivos que han sido abiertos por cualquiera de los procesos proporcionados en la línea de comando.

salida lsof en una ventana de terminal

Ver archivos abiertos por un usuario

Para limitar la visualización a los archivos que han sido abiertos por un usuario específico, use la -uopción (usuario). En este ejemplo, veremos los archivos que han sido abiertos por procesos que son propiedad de Mary o se han iniciado en nombre de Mary.

sudo lsof -u mary

sudo lsof -u mary en una ventana de terminal

Todos los archivos enumerados se han abierto en nombre del usuario Mary. Esto incluye archivos que han sido abiertos por el entorno de escritorio, por ejemplo, o simplemente como resultado de que Mary haya iniciado sesión.

salida lsof en una ventana de terminal

Excluir archivos abiertos por un usuario

Para excluir los archivos que ha abierto un usuario, utilice el ^  operador. La exclusión de usuarios del listado facilita la búsqueda de la información que le interesa. Debe usar la -uopción como antes y agregar el ^carácter al comienzo del nombre del usuario.

sudo lsof + D / inicio -u ^ mary

sudo lsof + D / home -u ^ mary en una ventana de terminal

Esta vez, la lista del /homedirectorio no incluye ninguno de los archivos abiertos por el usuario Mary.

salida lsof en una ventana de terminal

Enumerar archivos abiertos por un proceso

Para enumerar los archivos que han sido abiertos por un proceso específico, use la -popción (proceso) y proporcione el ID del proceso como parámetro.

sudo lsof - p 4610

sudo lsof - p 4610 en una ventana de terminal

Todos los archivos que se han abierto con el ID de proceso que proporcionas se enumeran automáticamente.

salida lsof en una ventana de terminal

Listado de ID de proceso que han abierto un archivo

Para ver los ID de proceso de los procesos que han abierto un archivo en particular, use la -topción (conciso) y proporcione el nombre del archivo en la línea de comando.

sudo lsof -t /usr/share/mime/mime.cache

sudo lsof -t /usr/share/mime/mice.cache en una ventana de terminal

Los ID de proceso se muestran en una lista simple.

salida lsof en una ventana de terminal

Utilizar búsquedas Y y O

Enumeremos los archivos que ha abierto el usuario Mary, que están relacionados con los procesos SSH. Sabemos que podemos proporcionar más de un elemento de búsqueda en la línea de comando, por lo que debería ser fácil.

sudo lsof -u mary -c ssh

sudo lsof -u mary -c ssh en una ventana de terminal

Ahora veamos la salida de lsof. Eso no se ve bien; hay entradas en la salida que fueron iniciadas por root.

salida lsof en una ventana de terminal

Eso no es lo que esperábamos. ¿Que pasó?

Cuando proporcione varios términos de búsqueda, lsofse devolverá cualquier archivo que coincida con el primer término de búsqueda o el segundo término de búsqueda, y así sucesivamente. En otras palabras, realiza una búsqueda OR.

Para lsofrealizar una búsqueda Y, use la -aopción (y). Esto significa que los únicos archivos que se enumerarán serán los que coincidan con el primer término de búsqueda y el segundo término de búsqueda, y así sucesivamente.

Intentémoslo de nuevo y usemos la -aopción.

sudo lsof -u mary -c ssh -a

sudo lsof -u mary -c ssh -a en una ventana de terminal

Ahora, cada archivo de la lista es uno que ha sido abierto por o en nombre de Mary y está asociado con el comando SSH.

Relacionado:  Cómo cifrar y descifrar archivos con GPG en Linux

salida lsof en una ventana de terminal

Actualización automática de la pantalla

Podemos usar la +|-ropción (repetir) para poner lsofen modo de repetición. La opción de repetición se puede aplicar de dos formas, +ro -r. También debemos agregar el número de segundos que queremos lsofesperar antes de actualizar la pantalla.

El uso de la opción de repetición en cualquier formato hace que se lsofmuestren los resultados como de costumbre, pero agrega una línea discontinua en la parte inferior de la pantalla. Espera el número de segundos proporcionado en la línea de comando y luego actualiza la pantalla con un nuevo conjunto de resultados.

Con la -ropción esto continuará hasta que presione Ctrl + C. Con el +rformato, continuará hasta que no haya resultados para mostrar, o hasta que presione Ctrl + C.

sudo lsof -u mary -c ssh -a -r5

sudo lsof -u mary -c ssh -a -r5 en una ventana de terminal

Tenga en cuenta la línea punteada en la parte inferior de la lista. Esto separa cada nueva visualización de datos cuando se actualiza la salida.

salida lsof en una ventana de terminal

Visualización de archivos asociados con conexiones a Internet

La -i opción (Internet) le permite ver los archivos abiertos por procesos asociados con la red y las conexiones a Internet.

lsof -i

lsof -i en una ventana de terminal

Se muestran todos los archivos abiertos por la red y las conexiones a Internet.

salida lsof en una ventana de terminal

Visualización de archivos asociados con conexiones a Internet por ID de proceso

Para ver los archivos abiertos por conexiones a Internet que están asociados con un ID de proceso específico, agregue la -popción y la -aopción.

Aquí buscamos archivos abiertos mediante una conexión a Internet o de red, mediante un proceso con un ID de 606.

sudo lsof -i -a -p 606

lsof -i en una ventana de terminal

Se muestran todos los archivos abiertos por el ID de proceso 606 que están asociados con conexiones de red o de Internet.

salida lsof en una ventana de terminal

Visualización de archivos asociados con conexiones y comandos de Internet

Podemos usar la -copción (comando) para buscar archivos abiertos por procesos específicos. Para buscar archivos que hayan sido abiertos por Internet o conexiones de red asociadas con el  sshproceso, use el siguiente comando:

lsof -i -a -c ssh

lsof -i -a -c ssh en una ventana de terminal

Todos los archivos abiertos debido a los procesos ssh se enumeran en la salida.

salida lsof en una ventana de terminal

Visualización de archivos asociados con conexiones y puertos de Internet

Podemos hacer un lsofinforme sobre los archivos que se abrieron por Internet o conexiones de red en un puerto específico. Para hacer esto, usamos el :carácter seguido del número de puerto.

Aquí le pedimos lsofque enumere los archivos que se han abierto mediante conexiones de red o de Internet mediante el puerto 22.

lsof -i: 22

lsof -i: 22 en una ventana de terminal

Todos los archivos enumerados fueron abiertos por procesos asociados con el puerto 22 (que es el puerto predeterminado para las conexiones SSH).

salida lsof en una ventana de terminal

Visualización de archivos asociados con conexiones y protocolos de Internet

Podemos solicitar lsofmostrar los archivos que han sido abiertos por procesos asociados con conexiones de red e Internet, que están usando un protocolo específico. Podemos elegir entre TCP, UDP y SMTP. Usemos el protocolo TCP y veamos qué obtenemos.

sudo lsof -i tcp

sudo lsof -i tcp en una ventana de terminal

Los únicos archivos enumerados son los abiertos por procesos que utilizan el protocolo TCP.

salida lsof en una ventana de terminal

Solo hemos rayado la superficie

Esa es una buena base en algunos casos de uso común  lsof, pero hay mucho más que eso. Cuánto más se puede juzgar por el hecho de que la página de manual tiene más de 2.800 líneas.

El lsofcomando se puede utilizar para profundizar cada vez más en los estratos de archivos abiertos y pseudoarchivos. Hemos proporcionado un mapa esquemático; el atlas está en la página de manual .