Linux恢復(fù)刪除文件的lsof命令詳解
lsof命令
lsof命令用于查看你進(jìn)程開(kāi)打的文件，打開(kāi)文件的進(jìn)程，進(jìn)程打開(kāi)的端口(TCP、UDP)。找回/恢復(fù)刪除的文件。是十分方便的系統(tǒng)監(jiān)視工具，因?yàn)閘sof命令需要訪(fǎng)問(wèn)核心內(nèi)存和各種文件，所以需要root用戶(hù)執(zhí)行。
在linux環(huán)境下，任何事物都以文件的形式存在，通過(guò)文件不僅僅可以訪(fǎng)問(wèn)常規(guī)數(shù)據(jù)，還可以訪(fǎng)問(wèn)網(wǎng)絡(luò)連接和硬件。所以如傳輸控制協(xié)議 (TCP) 和用戶(hù)數(shù)據(jù)報(bào)協(xié)議 (UDP) 套接字等，系統(tǒng)在后臺(tái)都為該應(yīng)用程序分配了一個(gè)文件描述符，無(wú)論這個(gè)文件的本質(zhì)如何，該文件描述符為應(yīng)用程序與基礎(chǔ)操作系統(tǒng)之間的交互提供了通用接口。因?yàn)閼?yīng)用程序打開(kāi)文件的描述符列表提供了大量關(guān)于這個(gè)應(yīng)用程序本身的信息，因此通過(guò)lsof工具能夠查看這個(gè)列表對(duì)系統(tǒng)監(jiān)測(cè)以及排錯(cuò)將是很有幫助的。
語(yǔ)法
lsof(選項(xiàng))
參數(shù)
-a：列出打開(kāi)文件存在的進(jìn)程；
-c<進(jìn)程名>：列出指定進(jìn)程所打開(kāi)的文件；
-g：列出GID號(hào)進(jìn)程詳情；
-d<文件號(hào)>：列出占用該文件號(hào)的進(jìn)程；
+d<目錄>：列出目錄下被打開(kāi)的文件；
+D<目錄>：遞歸列出目錄下被打開(kāi)的文件；
-n<目錄>：列出使用NFS的文件；
-i<條件>：列出符合條件的進(jìn)程。（4、6、協(xié)議、:端口、 @ip ）
-p<進(jìn)程號(hào)>：列出指定進(jìn)程號(hào)所打開(kāi)的文件；
-u：列出UID號(hào)進(jìn)程詳情；
-h：顯示幫助信息；
-v：顯示版本信息。
使用
查看
lsof -i :（端口） 查看這個(gè)端口有那些進(jìn)程在訪(fǎng)問(wèn)，比如22端口
shell> lsof -i:22 COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME sshd 1939 root 3u IPv4 12317 0t0 TCP *:ssh (LISTEN) sshd 1939 root 4u IPv6 12321 0t0 TCP *:ssh (LISTEN) sshd 2790 root 3u IPv4 15229 0t0 TCP 192.168.178.128:ssh->192.168.178.1:64601 (ESTABLISHED) sshd 2824 root 3u IPv4 15528 0t0 TCP 192.168.178.128:ssh->192.168.178.1:64673 (ESTABLISHED) sshd 2990 root 3u IPv4 15984 0t0 TCP 192.168.178.128:ssh->192.168.178.1:64686 (ESTABLISHED) sshd 14695 root 3u IPv4 39558 0t0 TCP 192.168.178.128:ssh->192.168.178.1:49662 (ESTABLISHED)
lsof輸出各列信息的意義如下：
- COMMAND：進(jìn)程的名稱(chēng)
- PID：進(jìn)程標(biāo)識(shí)符
- USER：進(jìn)程所有者
- FD：文件描述符，應(yīng)用程序通過(guò)文件描述符識(shí)別該文件。如cwd、txt等
- TYPE：文件類(lèi)型，如DIR、REG等
- DEVICE：指定磁盤(pán)的名稱(chēng)
- SIZE：文件的大小
- NODE：索引節(jié)點(diǎn)（文件在磁盤(pán)上的標(biāo)識(shí)）
- NAME：打開(kāi)文件的確切名稱(chēng)
恢復(fù)文件
利用lsof可以恢復(fù)一些系統(tǒng)日志，前提是這個(gè)進(jìn)程必須存在。這里就拿最常用的/var/log/messages來(lái)舉例說(shuō)明，大家在做測(cè)試的時(shí)候最好先備份一下。
#備份 shell> cp /var/log/message /var/log/message_bac http://embeddedlinux.org.cn/ shell> lsof |grep /var/log/message rsyslogd 1737 root 1w REG 8,2 5716123 652638 /var/log/messages
進(jìn)程在運(yùn)行中，接下來(lái)我就把/var/log/messages這個(gè)文件刪掉
shell> rm /var/log/messages
刪掉之后，我再來(lái)看看這個(gè)進(jìn)程的變化
shell> lsof |grep /var/log/messages rsyslogd 1737 root 1w REG 8,2 5716123 652638 /var/log/messages (deleted)
大家看到有變化了吧， 對(duì)比兩個(gè)之后發(fā)現(xiàn)多了(deleted)。要找到這個(gè)文件在哪還要看看這個(gè)
PID:1737 FD:1 那我們有直接進(jìn)入/proc/1737/FD/1用ll查看一下
shell> cd /proc/1737/fd/ shell> ll total 0 lrwx------ 1 root root 64 Dec 23 13:00 0 -> socket:[11442] l-wx------ 1 root root 64 Dec 23 13:00 1 -> /var/log/messages (deleted) l-wx------ 1 root root 64 Dec 23 13:00 2 -> /var/log/secure lr-x------ 1 root root 64 Dec 23 13:00 3 -> /proc/kmsg l-wx------ 1 root root 64 Dec 23 13:00 4 -> /var/log/maillog
看到了1對(duì)應(yīng)/var/log/messages (deleted），看看文件是不是我們要的文件:
shell> head -5 1 Nov 14 03:11:11 localhost kernel: imklog 5.8.10, log source = /proc/kmsg started. Nov 14 03:11:11 localhost rsyslogd: [origin software="rsyslogd" swVersion="5.8.10" x-pid="1241" x-info="http://www.rsyslog.com"] start Nov 14 03:11:11 localhost kernel: Initializing cgroup subsys cpuset Nov 14 03:11:11 localhost kernel: Initializing cgroup subsys cpu Nov 14 03:11:11 localhost kernel: Linux version 2.6.32-431.el6.x86_64 (mockbuild@c6b8.bsys.dev.CentOS.org) (gcc version 4.4.7 20120313 (Red Hat 4.4.7-4) (GCC) ) #1 SMP Fri Nov 22 03:15:09 UTC 2013
對(duì)比備份文件：
shell> head -5 /var/log/message_bac Nov 14 03:11:11 localhost kernel: imklog 5.8.10, log source = /proc/kmsg started. Nov 14 03:11:11 localhost rsyslogd: [origin software="rsyslogd" swVersion="5.8.10" x-pid="1241" x-info="http://www.rsyslog.com"] start Nov 14 03:11:11 localhost kernel: Initializing cgroup subsys cpuset Nov 14 03:11:11 localhost kernel: Initializing cgroup subsys cpu Nov 14 03:11:11 localhost kernel: Linux version 2.6.32-431.el6.x86_64 (mockbuild@c6b8.bsys.dev.centos.org) (gcc version 4.4.7 20120313 (Red Hat 4.4.7-4) (GCC) ) #1 SMP Fri Nov 22 03:15:09 UTC 2013
對(duì)比發(fā)現(xiàn)數(shù)據(jù)是一樣的，恢復(fù)
shell> cat 1 > /var/log/messages
再次提醒，恢復(fù)前提是這個(gè)進(jìn)程必須存在。
總結(jié)
以上就是這篇文章的全部?jī)?nèi)容了，希望本文的內(nèi)容對(duì)大家的學(xué)習(xí)或者工作能帶來(lái)一定的幫助，如果有疑問(wèn)大家可以留言交流。
相關(guān)文章
用了兩天的時(shí)間，終于把php配置成功了。測(cè)試成功了。2009-10-10
文章總結(jié)：本文介紹了如何查看系統(tǒng)中被Killed的進(jìn)程信息,并提供了設(shè)定kill優(yōu)先度的方法,優(yōu)先度通過(guò)oom_adj值來(lái)調(diào)整,范圍為-16到+15,值越高優(yōu)先級(jí)越高,文章還提到如何處理被拒絕訪(fǎng)問(wèn)的命令,并鼓勵(lì)大家提供支持2024-11-11
linux輸入yum后提示： -bash: /usr/bin/yum: No such file or director
在本篇文章里小編給大家整理的是關(guān)于linux輸入yum后提示： -bash: /usr/bin/yum: No such file or directory的解決方法，有需要的朋友們參考下。2019-11-11
文章總結(jié)了四種在Linux操作系統(tǒng)中查看內(nèi)核和版本的方法,并強(qiáng)調(diào)了個(gè)人經(jīng)驗(yàn)的價(jià)值,鼓勵(lì)大家參考和使用2024-11-11
解決centos7操作系統(tǒng)開(kāi)機(jī)提示error:file“/boot/grub/i386-pc/normal.mod“no
公司重要業(yè)務(wù)虛擬機(jī)啟動(dòng)失敗,提示找不到normal.mod文件,通過(guò)救援模式下手動(dòng)設(shè)置grub啟動(dòng)分區(qū)和路徑,加載基本模塊,最終成功進(jìn)入正常模式并引導(dǎo)系統(tǒng)2024-12-12
一文詳解Linux系統(tǒng)中的文件描述符與進(jìn)程數(shù)限制
Linux 系統(tǒng)中,文件描述符和進(jìn)程數(shù)是兩個(gè)非常重要的系統(tǒng)資源,它們直接影響系統(tǒng)的性能和穩(wěn)定性,尤其是在高負(fù)載的服務(wù)器環(huán)境中,本文將深入探討如何查看和調(diào)整 Linux 系統(tǒng)中的文件描述符和進(jìn)程數(shù)限制,幫助系統(tǒng)管理員和開(kāi)發(fā)者更好地優(yōu)化系統(tǒng)配置2025-02-02
這篇文章主要介紹了linux下中文輸入法問(wèn)題及解決方案，本文給大家介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2020-07-07
Linux服務(wù)器如何設(shè)置啟動(dòng)自動(dòng)登錄
在遠(yuǎn)程操作服務(wù)器時(shí),配置自動(dòng)登錄可以帶來(lái)便利,首先修改/etc/passwd文件,將root用戶(hù)的密碼字段清空,接著,修改/etc/gdm/custom.conf文件,在[daemon]部分添加或修改自動(dòng)登錄的用戶(hù)信息,完成后重啟服務(wù)器,即可實(shí)現(xiàn)用戶(hù)自動(dòng)登錄2024-09-09
CentOS 5.4 Kloxo安裝詳細(xì)說(shuō)明
在centos上安裝過(guò)N次kloxo，總沒(méi)有成功，經(jīng)過(guò)幾次的折騰，終于安裝成功了。2010-03-03
CentOs 7.*中配置安裝phpMyAdmin的完整步驟記錄
phpMyAdmin是一個(gè)以PHP為基礎(chǔ)，以Web-Base方式架構(gòu)在網(wǎng)站主機(jī)上的MySQL的資料庫(kù)管理工具。下面這篇文章主要給大家介紹了關(guān)于CentOs 7.*中配置安裝phpMyAdmin的相關(guān)資料，需要的朋友可以參考借鑒，下面來(lái)一起看看吧2018-07-07