lsof

lsof (list open files) — выводит открытые файлы и связанные с ними процессы. В UNIX-семантике "файл" включает обычные файлы, каталоги, символические ссылки, FIFO, сокеты (UNIX, IPv4, IPv6), block/char-устройства, anon_inode-объекты (eventfd, signalfd, epoll).

См. lsof(8).

Источники данных

lsof читает /proc/<pid>/fd/, /proc/<pid>/maps, /proc/net/{tcp,tcp6,udp,udp6,unix} и др.; на BSD — kvm/sysctl. Без root видит только файлы, принадлежащие текущему UID.

Колонки вывода:

COMMAND — comm процесса
PID — PID
TID — TID (с -K)
USER — владелец процесса
FD — номер fd или специальная метка: cwd, rtd (root dir), txt (text/code), mem (mmap), DEL (удалённый mmap), число + режим (r, w, u)
TYPE — REG, DIR, CHR, BLK, FIFO, unix, IPv4, IPv6, sock, a_inode и др.
DEVICE — major,minor устройства
SIZE/OFF — размер или смещение
NODE — inode, для интернет-сокетов — протокол (например TCP); порт — в колонке NAME
NAME — путь или описание endpoint'а

Синтаксис

lsof [опции] [имена]

По умолчанию опции комбинируются по OR. Для AND используйте -a.

Часто используемые опции

Опция	Назначение
`-p PID[,PID...]`	Фильтр по PID
`-u USER` / `-u ^USER`	Включить/исключить пользователя
`-c NAME` / `-c /regex/`	По имени команды
`-i [46][PROTO][@HOST][:PORT]`	Сетевые соединения
`-iTCP -sTCP:LISTEN`	TCP в состоянии LISTEN
`+D DIR`	Рекурсивно по каталогу
`+d DIR`	Только содержимое каталога (без рекурсии)
`-t`	Только PID (для скриптов)
`-n`	Не резолвить host:port
`-P`	Не резолвить port → service
`-a`	Логическое AND между фильтрами
`-K`	Показать потоки (TID)
`-X`	Пропустить TCP/UDP/UDPLITE-файлы (ускорение при множестве сетевых fd)
`-r N`	Repeat-mode каждые N секунд

Примеры

Кто слушает порт

sudo lsof -nP -iTCP:80 -sTCP:LISTEN

Все соединения процесса

sudo lsof -nP -p 1234 -i

Кто держит файл/сокет

sudo lsof /var/log/syslog
sudo lsof /run/docker.sock

Удалённые, но удерживаемые файлы (deleted but open)

sudo lsof +L1

Кто работает в каталоге

sudo lsof +D /mnt/usb

Отправить SIGTERM держателям файла

sudo kill $(lsof -t /path/to/file)