플로우라이더

LiSt Open Files의 약자로서, 이름이 말하는 것들을 그대로 수행하는 프로그 램이다. 좀 더 구체적으로, 현재 System에서 돌아가는 모든 Process에 의해서 Open된 파일들에 대한 정보를 보여준다.

lsof의 최신 버젼은 ftp://vic.cc.purdue.edu/pub/tools/unix/lsof에서 쉽게 구할 수 있다.

lsof의 설치는 비교적 간단하다. 패키지를 풀면, lsof_???(release number)의 디렉토리가 생성되며, 이 디렉토리 내의 Configure라는 Script로 환경 설정을 해 준 다음 컴파일 해 주면 된다. Configure에서는 인자로 설치 대상 OS를 적 어주면 된다. 지원되는 OS목록은 -h 옵션으로 확인할 수 있다.

다음 예제는 Linux일 때 이다.

	$ ./Configure -h
	$ ./Configure linux
	$ make

Customization Script에서 물어오는 옵션들을 알아보도록 하자.

Makefile에서는 install rule이 빠져있다. 따라서 이 부분은 각자가 알아서 적당하게 써 넣어 줘야 한다. 물론 대부분의 경우에는 @echo 블럭 내의 부분을 지시하는 대로 조금만 고쳐 주면 된다.

고쳐야 할 부분은 Makefile 첫 헤더 부분의 BIN(실행파일이 설치 될 디렉토리), DOC(Manual Page가 설치 될 디렉토리), GRP(/dev(/devices)/kmem의 group)이다. 이 것들을 알맞게 수정해 준 다음에, install rule을 다음과 같이 만든다.

	--- Makefile in /lsof_x.xx
	install: all FRC
		install -m 2755 -g ${GRP} ${PROG} ${BIN}/${PROG}
		install -m 444 ${MAN} ${DOC}/${MAN}

	$ su
	# make install

arg.c : 공통적으로 사용되는 아규먼트 처리 함수들
lsof.h : 공통적으로 사용되는 헤더로서, Platform에 따른 헤더들을 포 함하고 있다.
main.c : lsof의 주요 실행 부분
misc.c : 범용의 여러가지 잡다한 함수들
node.c : 범용 node 읽기 함수들 - inode, vnode읽기
print.c : 범용 print 지원(화면 출력) 함수들
proc.c : 범용 proc file system을 지원하는 함수들
proto.h : lsof에서 사용하는 모든 함수들의 prototype들
store.c : lsof에서 직접 다루는 file structure를 지원하는 함수들
usage.c : lsof의 사용법을 표시해 주은 함수들
version.h : lsof의 버젼 정보를 포함하고 있다.

1) Select Options
lsof로 검사할 대상 파일들을 지정할 때 사용하는 옵션들이다.

-a : 각각의 파일 선택 옵션들을 AND 연산하여 대상 파일들을 선택 -a 옵션이 없다면 모두 OR 연산 되게 된다.
-c : -c 옵션으로 지정된 프로그램의 프로세스가 사용하고 있는 파일 들을 대상으로 한다.
-d : 지정한 descriptor들이 나타내는 파일들을 열거한다. 여러개의 descriptor는 ","로 구분하며, "3-10" 범위를 지정할 수도 있다.
-g : 지정한 프로세스 그룹 아이디를 가진 모든 프로세스들이 사용하고 있는 파일들을 선택(comma separate)
-i : 인터넷 Socket들에 대해서 수행한다. 프로토콜 이름, 호스트와 서비스 이름을 지정해서도 수행할 수 있다.
-N : NFS로 연결되어 있는 파일들에 대해서 수행한다.
-U : 해당 UNIX domain 내에 있는 모든 Socket들에 대해서 수행한다.

2) Output Options
lsof의 수행 결과를 여러가지 포맷으로 나타내어 주는 옵션들이다.

-F : 인자로 주어진 Charactor로, 각 필드를 분리해서 출력한다. 다른 Awk, Perl등에서 직접 입력으로 받아 사용할 수 있다.
-g : 프로세스 그룹 아이디들을 출력한다.
-l : 로긴 네임 대신에 UID를 출력한다.
-n : 호스트 이름 대신에 IP address를 출력한다.
-o : 파일들의 offset을 항상 출력한다.
-P : 포트 Service 이름 대신에 포트 넘버를 그대로 출력한다.
-s : 파일의 크기를 항상 출력한다.

3) Precautionary Options
lsof는 System Dependent한 여러가지 기능을 사용하고, 이것들 때문에 수행에 오랜 시간이 걸리거나, 다른 작업을 Block하는 경우도 있다. 이를 막기위한 옵션들이다.

-b : Kernel 내부에서 Block될 수 있는 System Call들의 사용을 피한다.
-D : 기존에 존재하는 device 캐쉬 파일을 무시하고 새로운 캐쉬 파일 을 생성한다.
-O : lsof가 kernel에서 Block 될 수 있는 가능성을 가진 일을 수행할 때, fork(2)를 사용하는 것을 피한다.
-S : lstat/readlink/stat System Call시, Time Out을 설정한다.
-w : 컴파일 시에 지정한 Warning Message 처리 방법을 토글하여 수행 한다(enable -> disable, disable -> enable).

4) Miscellaneous Lsof Options
기타 여러가지 잡다한 옵션들이다.

-?,h : 도움말 출력
-k : 커널 심볼 파일을 지정한다.
-r : 인자로 주어진 초의 기간을 주기로 반복해서 실행한다. 기본 값 은 15초이다.
-v : lsof에 대한 여러가지 정보(컴파일 상황 등등)들을 표시한다.

Tip 1) 어떤 특정한 파일을 사용하고 있는 프로세스들에 대한 정보를 알고 싶을 때,

$ lsof <expected file name with path>

을 실행하면 된다.

$ lsof /etc/passwd

를 실행하면, /etc/passwd를 억세스하고 있는 프로세스들을 점검할 수 있으며, 이 파일을 가지고 장난치는 프로세스들도 발견할 수 있다.

Tip 2) 어떤 파일 시스템 내에, 그렇게 큰 크기의 파일들을 찾을 수 없는데도 불구하고, Available Space가 0을 향해서 치닫고 있을 수도 있다. 아마도, unlink된 파일에 대고 계속해서 써 대고 있을 가능성이 크다. lsof는

$ lsof <expected directory - root of mounted partition>

의 형식으로 해당 디렉토리 내, 혹은 partition 내에 있는 모든 파일들에 대해 억세스하고 있는 프로세스들을 열거해 줄 수 있다. 역시 장난 치는 프로세스를 발견할 수 있을 것이다.

Tip 3) 긴급히 어떤 파일 시스템을 unmount해야 할 때, 여러분은 해당 파일 시스템에 있는 파일들을 사용하는 프로세스들 덕분에 unmount를 하지 못하고 마냥 기다리기만 했던 일을 겪어 봤을 것이다. lsof는 파일 시스템 내에 있는 파일들에 대해서 억세스하고 있는 프로세스들을 다 찾아줄 수 있다.

$ lsof <expected file system name>

이것을 이용해서 즉시 unmount를 하는 스크립트도 간단히 만들 수 있을 것이다.

Tip 4) lsof는 모든 네트워크 Socket들을 찾아낼 수 있다.

$ lsof -i

를 실행하면, 현재 사용되고 있는 모든 Socket들을 볼 수 있을 것이다.

Tip 5) Tip 4)를 잘 이용하면, 어떤 네트워크 Connection에 대해서 그 목적지 나 어디서 부터 맺어진 연결인지를 쉽게 알아낼 수 있다. 만약, 여러분의 서버 에서 돌아가고 있는 프로세스들 중에서, security.kaist.ac.kr로 연결을 하고 있는 프로세스를 잡아낼 수 있으며, 구체적으로 어떤 서비스(혹은 포트)에 연 결하고 있는가도 지정하여 알아낼 수 있다.

$ lsof -i@security.kaist.ac.kr $ lsof -iTCP(|UDP)@security.kaist.ac.kr:smtp

물론 여러개의 -i옵션을 이용해서 다양한 호스트로의 연결을 잡아낼 수 있다.

Tip 6) Tip 5)를 응용해서 netstat과 물려서 이용하는 예도 있다.

	$ netstat -t
	Active Internet connections (w/o servers)
	Proto Recv-Q Send-Q Local Address           Foreign Address         State 
	tcp        0      0 security.kaist.ac:1019 fool.bbaga.co.kr:login ESTABLISHED

	$ lsof -iTCP@fool.bbaga.co.kr:login
	COMMAND     PID     USER   FD   TYPE     DEVICE   SIZE/OFF  INODE NAME
	rlogin    25023 godslord    3u  inet 0x10144168      0t184    TCP security.kaist.ac.kr:1019->fool.bbaga.co.kr:login
	...

$ lsof -c httpd

httpd 데몬을 통해서 억세스 되고 있는 모든 파일들을 열람할 수 있다.

Tip 8) lsof를 이용하여, rcp나 ftp를 이용한 파일 전송 과정을 모니터링 할 수도 있다. 먼저 대상이 되는 프로세스를 ps 등을 이용해서 찾아낸다. 그런 다음,

$ lsof -p <PID>

를 하면 당연히 해당 프로세스가 열고 있는 파일들을 열람할 수 있게 된다. 조금 더 자세히하고 싶다면, ftp는 일반적으로 9,10이나 10,11번을 각각 Socket과 Local Data File에 할당하고, rcp는 3,4번을 할당한다. 이를 이용 하면,

$ lsof -p <PID> -ad9,10 -r

이런 식으로 되며, 어떤 뜻인지는 위의 옵션 설명을 보고 해석해 보기 바란다.

Tip 9) lsof로는 어떤 유저가 열고 있는 모든 파일들을 열거해 볼 수도 있다.

$ lsof -u<loginname> 혹은 $ lsof -u<UID>

-u 옵션에는 인자를 ","로 구분하여 여러 인자를 한 꺼번에 넘길 수 있다.

$ lsof -ugodslord,sakai,astroby

즉, godslord, sakai, astroby의 유저들이 열고 있는 모든 파일들을 열거한다. -u 옵션을 사용하면서, 특정한 유저에 대한 정보는 보고 싶지 않을 때는, Login Name이나 UID의 앞에 "^"를 붙여 주면 된다.

$ lsof -u ^root 혹은 $ lsof -u ^0

이렇게 되면, root에 대해서는 체크를 하지 않는다.

Tip 10) lsof를 이용해서, 로그인 추적도 가능하다. 다음의 예제는 Solaris 2.x 에서의 경우이다.

	$ lsof -i@security.kaist.ac.kr
	COMMAND    PID USER   FD   TYPE     DEVICE SIZE/OFF NODE NAME
	in.rlogin 8112 root    0u  inet 0x60d7c7e8      0t2  TCP fool.bbaga.co.kr:login->security.kaist.ac.kr:1018 (ESTABLISHED)
	in.rlogin 8112 root    1u  inet 0x60d7c7e8      0t2  TCP fool.bbaga.co.kr:login->security.kaist.ac.kr:1018 (ESTABLISHED)
	in.rlogin 8112 root    2u  inet 0x60d7c7e8      0t2  TCP fool.bbaga.co.kr:login->security.kaist.ac.kr:1018 (ESTABLISHED)

	$ lsof -p 8112
	COMMAND    PID USER   FD   TYPE     DEVICE SIZE/OFF NODE NAME
	....
	in.rlogin 8112 root    4u  VCHR       23,0      0t0 136785 /devices/pseudo/clone@0:ptmx->logindmux->ptm
	in.rlogin 8112 root    5u  VCHR        4,0      0t0 136939 /devices/pseudo/clone@0:logindmux->logindmux
	in.rlogin 8112 root    6u  VCHR        4,1      0t0 136939 /devices/pseudo/clone@0:logindmux->logindmux
	...

	$ lsof /dev/pts/0
	COMMAND  PID  USER   FD   TYPE DEVICE SIZE/OFF   NODE NAME
	tcsh    8114  godslord   15u  VCHR   24,0  0t35381 136786 /dev/pts/../../devices/pseudo/pts@0:0
	...

Platform마다 다르지만 비슷한 방법으로 로긴을 추적해 낼 수 있다.