lsof – Cheat Sheet

Lsof ist ein Linux/UNIX-spezifisches Werkzeug. Der Name steht für LiSt Open Files, und genau das tut es auch. Es listet Informationen über Dateien auf, die von den auf einem System laufenden Prozessen geöffnet sind. Wie das regex Cheat Sheet ist diese Seite als schnelle Befehlsreferenz für den Alltag gedacht.

Code: https://github.com/lsof-org/lsof ↗
FAQ: https://github.com/lsof-org/lsof/blob/master/00FAQ ↗

Welcher Prozess hat ein bestimmtes File offen

lsof -t dateiname

Welche Dateien haben Prozesse von einem bestimmten Benutzer geöffnet

lsof -u www-data

Welche Dateien haben bestimmte Programme geöffnet (umgekehrt kannst Du auch Text in Dateien finden, wenn Du den Inhalt durchsuchen willst):

lsof -c apache2

So zeigst Du den mit einem Daemon verbundenen Port an. Welcher Dienst von außen tatsächlich erreichbar ist, prüfst Du anschließend mit einem nmap Cheat Sheet, und absichern lässt sich der Zugang über ufw auf Ubuntu:

lsof -i -n -P | grep sshd

Auflisten der Dateien nach Verbindungsart

lsof -i udp
lsof -i tcp

Alle Parameter der version 4.93.2

 usage: [-?abhKlnNoOPRtUvVX] [+|-c c] [+|-d s] [+D D] [+|-E] [+|-e s] [+|-f[gG]]
 [-F [f]] [-g [s]] [-i [i]] [+|-L [l]] [+m [m]] [+|-M] [-o [o]] [-p s]
 [+|-r [t]] [-s [p:s]] [-S [t]] [-T [t]] [-u s] [+|-w] [-x [fl]] [--] [names]
Defaults in parentheses; comma-separated set (s) items; dash-separated ranges.
  -?|-h list help          -a AND selections (OR)     -b avoid kernel blocks
  -c c  cmd c ^c /c/[bix]  +c w  COMMAND width (9)    +d s  dir s files
  -d s  select by FD set   +D D  dir D tree *SLOW?*   +|-e s  exempt s *RISKY*
  -i select IPv[46] files  -K [i] list|(i)gn tasKs    -l list UID numbers
  -n no host names         -N select NFS files        -o list file offset
  -O no overhead *RISKY*   -P no port names           -R list paRent PID
  -s list file size        -t terse listing           -T disable TCP/TPI info
  -U select Unix socket    -v list version info       -V verbose search
  +|-w  Warnings (+)       -X skip TCP&UDP* files     -Z Z  context [Z]
  -- end option scan
  -E display endpoint info              +E display endpoint info and files
  +f|-f  +filesystem or -file names     +|-f[gG] flaGs
  -F [f] select fields; -F? for help
  +|-L [l] list (+) suppress (-) link counts < l (0 = all; default = 0)
                                        +m [m] use|create mount supplement
  +|-M   portMap registration (-)       -o o   o 0t offset digits (8)
  -p s   exclude(^)|select PIDs         -S [t] t second stat timeout (15)
  -T qs TCP/TPI Q,St (s) info
  -g [s] exclude(^)|select and print process group IDs
  -i i   select by IPv[46] address: [46][proto][@host|addr][:svc_list|port_list]
  +|-r [t[m<fmt>]] repeat every t seconds (15);  + until no files, - forever.
       An optional suffix to t is m<fmt>; m must separate t from <fmt> and
      <fmt> is an strftime(3) format for the marker line.
  -s p:s  exclude(^)|select protocol (p = TCP|UDP) states by name(s).
  -u s   exclude(^)|select login|UID set s
  -x [fl] cross over +d|+D File systems or symbolic Links
  names  select named files or files on named file systems