用lsof命令查看那些删除了但是还打开着文件句柄的文件，然后kill -9 pid
lsof |grep deleted
以下参考： https://www.jianshu.com/p/a3aa6b01b2e1
lsof是系统管理/安全的尤伯工具
显示与指定目录交互的所有一切： lsof /var/log/messages/
显示与指定文件交互的所有一切: lsof /home/daniel/firewall_whitelist.txt
显示daniel连接到1.1.1.1所做的一切: lsof -u daniel -i @1.1.1.1
lsof可以netstat和ps的全部工作
默认 : 没有选项，lsof列出活跃进程的所有打开文件
组合 : 可以将选项组合到一起，如-abc，但要当心哪些选项需要参数
-a : 结果进行“与”运算（而不是“或”）
-l : 在输出显示用户ID而不是用户名
-h : 获得帮助
-t : 仅获取进程ID
-U : 获取UNIX套接口地址
-F : 格式化输出结果，用于其它命令。可以通过多种方式格式化，如-F pcfn（用于进程id、命令名、文件描述符、文件名，并以空终止）
使用-i显示所有连接: 语法: lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
lsof -i
使用-i 6仅获取IPv6流量 :lsof -i 6
仅显示TCP连接（同理可获得UDP连接）: lsof -iTCP
使用-i:port来显示与指定端口相关的网络信息: lsof -i :22
使用@host:port显示基于主机与端口的连接： lsof -i@172.16.12.5:22
找出正等候连接的端口： lsof -i -sTCP:LISTEN ， 可以grep “LISTEN”来完成该任务： lsof -i | grep -i LISTEN
找出已建立的连接： lsof -i -sTCP:ESTABLISHED ， 可以通过grep搜索“ESTABLISHED”来完成该任务：lsof -i | grep -i ESTABLISHED
使用-u显示指定用户打开了什么： lsof -u daniel
使用-u user来显示除指定用户以外的其它所有用户所做的事情： lsof -u ^daniel
杀死指定用户所做的一切事情： kill -9 lsof -t -u daniel
命令和进程
使用-c查看指定的命令正在使用的文件和网络连接: lsof -c syslog-ng
使用-p查看指定进程ID已打开的内容: lsof -p 10075
-t选项只返回PID: lsof -t -c Mail
文件和目录
通过查看指定文件或目录，你可以看到系统上所有正与其交互的资源——包括用户、进程等。
显示与指定目录交互的所有一切: lsof /var/log/messages/
显示与指定文件交互的所有一切: lsof /home/daniel/firewall_whitelist.txt
显示daniel连接到1.1.1.1所做的一切: lsof -u daniel -i @1.1.1.1
同时使用-t和-c选项以给进程发送 HUP 信号: kill -HUP `lsof -t -c sshd`
lsof +L1显示所有打开的链接数小于1的文件 : lsof +L1（这通常（当不总是）表示某个攻击者正尝试通过删除文件入口来隐藏文件内容。）
显示某个端口范围的打开的连接： lsof -i @fw.google.com:2150=2180
常用lsof 命令 案例
lsof指令的用法：
lsof abc.txt 显示开启文件abc.txt的进程
lsof -i :22 知道22端口现在运行什么程序
lsof -c abc 显示abc进程现在打开的文件
lsof -g gid 显示归属gid的进程情况
lsof +d /usr/local/ 显示目录下被进程开启的文件
lsof +D /usr/local/ 同上，但是会搜索目录下的目录，时间较长
lsof -d 4 显示使用fd为4的进程 [www.2cto.com](http://www.2cto.com)
lsof -i 用以显示符合条件的进程情况
语法: lsof -i[46] [protocol][@hostname|hostaddr][:service|port]
46 --> IPv4 or IPv6
protocol --> TCP or UDP
hostname --> Internet host name
hostaddr --> IPv4位置
service --> /etc/service中的 service name (可以不只一个)
port --> 端口号 (可以不只一个)
例子: TCP:25 - TCP and port 25
@1.2.3.4 - Internet IPv4 host address 1.2.3.4
[tcp@ohaha.ks.edu.tw](mailto:tcp@ohaha.ks.edu.tw):ftp - TCP protocol [hosthaha.ks.edu.tw](http://hosthaha.ks.edu.tw) service name:ftp
lsof -n 不将IP转换为hostname，缺省是不加上-n参数
例子: lsof -i [tcp@ohaha.ks.edu.tw](mailto:tcp@ohaha.ks.edu.tw):ftp -n
lsof -p 12 看进程号为12的进程打开了哪些文件
lsof +|-r [t] 控制lsof不断重复执行，缺省是15s刷新
-r，lsof会永远不断的执行，直到收到中断信号
+r，lsof会一直执行，直到没有档案被显示
例子：不断查看目前ftp连接的情况：lsof -i [tcp@ohaha.ks.edu.tw](mailto:tcp@ohaha.ks.edu.tw):ftp -r
lsof -s 列出打开文件的大小，如果没有大小，则留下空白
lsof -u username 以UID，列出打开的文件 [www.2cto.com](http://www.2cto.com)
其他：
进程调试命令:truss、strace和ltrace
进程无法启动，软件运行速度突然变慢，程序的"SegmentFault"等等都是让每个Unix系统用户头痛的问题，而这些问题都可以通过使用truss、strace和ltrace这三个常用的调试工具来快速诊断软件的"疑难杂症"。
网友评论