linux如何回已经删除的⽂件？lsof
简介
lsof(list open files)是⼀个列出当前系统打开⽂件的⼯具。在linux环境下，任何事物都以⽂件的形式存在，通过⽂件不仅仅可以访问常规数据，还可以访问⽹络连接和硬件。所以
如传输控制协议 (TCP) 和⽤户数据报协议 (UDP) 套接字等，系统在后台都为该应⽤程序分配了⼀个⽂件描述符，⽆论这个⽂件的本质如何，该⽂件描述符为应⽤程序与基础操作系统之间的交互提供了通⽤接⼝。因为应⽤程序打开⽂件的描述符列表提供了⼤量关于这个应⽤程序本⾝的信息，因此通过lsof⼯具能够查看这个列表对系统监测以及排错将是
很有帮助的
在终端下输⼊lsof即可显⽰系统打开的⽂件，因为 lsof 需要访问核⼼内存和各种⽂件，所以必须以 root ⽤户的⾝份运⾏它才能够充分地发挥其功能。
输出信息含义
lsof输出各列信息的意义如下：
COMMAND：进程的名称 PID：进程标识符
USER：进程所有者
FD：⽂件描述符，应⽤程序通过⽂件描述符识别该⽂件。如cwd、txt等 TYPE：⽂件类型，如DIR、REG等
DEVICE：指定磁盘的名称
SIZE：⽂件的⼤⼩
NODE：索引节点（⽂件在磁盘上的标识）
NAME：打开⽂件的确切名称
FD 列中的⽂件描述符cwd 值表⽰应⽤程序的当前⼯作⽬录，这是该应⽤程序启动的⽬录，除⾮它本⾝对这个⽬录进⾏更改,txt 类型的⽂件是程序代码，如应⽤程序⼆进制⽂件本
⾝或共享库，如上列表中显⽰的 /sbin/init 程序。
其次数值表⽰应⽤程序的⽂件描述符，这是打开该⽂件时返回的⼀个整数。如上的最后⼀⾏⽂件/dev/init
ctl，其⽂件描述符为 10。u 表⽰该⽂件被打开并处于读取/写⼊模式，⽽
不是只读 ® 或只写 (w) 模式。同时还有⼤写的W 表⽰该应⽤程序具有对整个⽂件的写锁。该⽂件描述符⽤于确保每次只能打开⼀个应⽤程序实例。初始打开每个应⽤程序时，
都具有三个⽂件描述符，从 0 到 2，分别表⽰标准输⼊、输出和错误流。所以⼤多数应⽤程序所打开的⽂件的 FD 都是从 3 开始。
与 FD 列相⽐，Type 列则⽐较直观。⽂件和⽬录分别称为 REG 和 DIR。⽽CHR 和 BLK，分别表⽰字符和块设备；或者 UNIX、FIFO 和 IPv4，分别表⽰ UNIX 域套接字、先进
先出 (FIFO) 队列和⽹际协议 (IP) 套接字。
常⽤参数
lsof 列车所有打开的⽂件
lsof /filepath/file 查看谁正在使⽤某个⽂件
lsof -c abc 显⽰abc进程现在打开的⽂件
lsof -p 1234 列出进程号为1234的进程所打开的⽂件
lsof -g gid 显⽰归属gid的进程情况
lsof +d /usr/local/ 显⽰⽬录下被进程开启的⽂件 lsof +D /usr/local/ 同上，但是会搜索⽬录下的⽬录，时间较长
lsof -d 4 显⽰使⽤fd为4的进程
lsof -i ⽤以显⽰符合条件的进程情况 lsof -i[46] [protocol][@hostname|hostaddr][:service|port] 46 --> IPv4 or IPv6 protocol --> TCP or UDP hostname --> Internet host name hostaddr --> IPv4地址 service --> /etc/service中的 service name (可以不⽌⼀个) port --> 端⼝号 (可以不⽌⼀个)
lsof -c mysql 列出某个程序所打开的⽂件信息，备注: -c(command) 选项将会列出所有以mysql开头的程序的⽂件
恢复删除的⽂件
当Linux计算机受到⼊侵时，常见的情况是⽇志⽂件被删除，以掩盖攻击者的踪迹。管理错误也可能导致意外删除重要的⽂件，⽐如在清理旧⽇志时，意外地删除了数据库的活动事务⽇志。有时可以通过lsof来恢复这些⽂件。
当进程打开了某个⽂件时，只要该进程保持打开该⽂件，即使将其删除，它依然存在于磁盘中。这意味着，进程并不知道⽂件已经被删除，它仍然可以向打开该⽂件时提供给它
的⽂件描述符进⾏读取和写⼊。除了该进程之外，这个⽂件是不可见的，因为已经删除了其相应的⽬录索引节点。
在/proc ⽬录下，其中包含了反映内核和进程树的各种⽂件。/proc⽬录挂载的是在内存中所映射的⼀块区域，所以这些⽂件和⽬录并不存在于磁盘中，因此当我们对这些⽂件进
⾏读取和写⼊时，实际上是在从内存中获取相关信息。⼤多数与 lsof 相关的信息都存储于以进程的 PID 命名的⽬录中，即 /proc/1234 中包含的是 PID 为 1234 的进程的信息。每
个进程⽬录中存在着各种⽂件，它们可以使得应⽤程序简单地了解进程的内存空间、⽂件描述符列表、指向磁盘上的⽂件的符号链接和其他系统信息。
lsof 程序使⽤该信息和其他关于内核内部状态的信息来产⽣其输出。所以lsof 可以显⽰进程的⽂件描述符和相关的⽂件名等信息。也就是我们通过访问进程的⽂件描述符可以
到该⽂件的相关信息。当系统中的某个⽂件被意外地删除了，只要这个时候系统中还有进程正在访问该⽂件，那么我们就可以通过lsof从/proc⽬录下恢复该⽂件的内容。
假如由于误操作将/var/log/messages⽂件删除掉了，那么这时要将/var/log/messages⽂件恢复的⽅法如下：
⾸先使⽤lsof来查看当前是否有进程打开/var/logmessages⽂件，如下：
# lsof  /var/log/messages
linux怎么读取文件
syslogd 1283 root 2w REG 3,3 5381017 1773647 /var/log/messages (deleted)
从上⾯的信息可以看到 PID 1283（syslogd）打开⽂件的⽂件描述符为 2。同时还可以看到/var/log/messages已经标记被删除了。因此我们可以在 /proc/1283/fd/2 （fd下的每个以数字命名的⽂件表⽰进程对应的⽂件描述符）中查看相应的信息，如下： # head -n 10 /proc/1283/fd/2
Aug 4 13:50:15 holmes86 syslogd 1.4.1: restart.
Aug 4 13:50:15 holmes86 kernel: klogd 1.4.1, log source = /proc/kmsg started.
Aug 4 13:50:15 holmes86 kernel: Linux version 2.6.22.1-8 (root@) (gcc version 4.2.0) #1 SMP Wed Jul 18 11:18:32 EDT 2007
Aug 4 13:50:15 holmes86 kernel: BIOS-provided physical RAM map:
Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 0000000000000000 - 000000000009f000 (usable) Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 000000000009f000 - 00000000000a0000 (reserved)
Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 0000000000100000 - 000000001f7d3800 (usable)
Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 000000001f7d3800 - 0000000020000000 (reserved)
Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 00000000e0000000 - 00000000f0007000 (reserved)
Aug 4 13:50:15 holmes86 kernel: BIOS-e820: 00000000f0008000 - 00000000f000c000 (reserved)
从上⾯的信息可以看出，查看 /proc/8663/fd/15 就可以得到所要恢复的数据。如果可以通过⽂件描述符查看相应的数据，那么就可以使⽤ I/O 重定向将其复制到⽂件中，如: cat /proc/1283/fd/2 > /var/log/messages 对于许多应⽤程序，尤其是⽇志⽂件和数据库，这种恢复删除⽂件的⽅法⾮常有⽤。
linux下⼀切皆⽂件
1.普通的⽂件，
2.⽬录
3.⽹络⽂件系统的⽂件，
4.字符设备⽂件
5.(函数)共享库
6.管道，命名管道
7.符号链接
8.底层的socket字流，⽹络socket，unix域名socket

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。