Comando Lsof

Un comando que ayuda mucho es lsof (List of File) , que en palabras simples lista los procesos y sus archivos abiertos.
Este es un comando que funciona en sistemas tipo POSIX, como AIX, FreeBSD, Linux y Solaris.

• Archivos abiertos de un directorio
  
  #lsof /usr
  COMMAND     PID       USER   FD   TYPE DEVICE SIZE/OFF   NODE NAME
  update-ma   878 edoherrera  txt    REG    8,5  2613296 131557 /usr/bin/python2.6
  update-ma   878 edoherrera  mem    REG    8,5     9145 175376 /usr/share/locale-langpack/es/LC_MESSAGES/python-apt.mo
  update-ma   878 edoherrera  mem    REG    8,5    10272  47115 /usr/lib/gconv/ISO8859-1.so
  update-ma   878 edoherrera  mem    REG    8,5   573136 151032 /usr/share/fonts/truetype/ttf-dejavu/DejaVuSans-Bold.ttf

• Socket abiertos por un proceso
  
  #lsof -n -i -P
  La opción -n inhibe la traducción de nombres, -i selecciona archivos IPv[4,6] -P el puerto
  
  COMMAND     PID       USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
  ssh        1628 edoherrera    3u  IPv4 2095553      0t0  TCP xxx.xxx.x.xxx:56073->xxx.xxx.xx.x:22 (ESTABLISHED)
  ssh        1645 edoherrera    3u  IPv4 2095983      0t0  TCP xxx.xxx.x.xxx:55461->xxx.xxx.xx.x:22 (ESTABLISHED)
  ssh        1761 edoherrera    3u  IPv4 2101633      0t0  TCP xxx.xxx.x.xxx:60008->xxx.xxx.xx.x:22 (ESTABLISHED)
  
  

• Lista las conexiones al puerto 80
  
  #lsof -n -i :80
  
  COMMAND    PID       USER   FD   TYPE  DEVICE SIZE/OFF NODE NAME
  ld-linux. 4583 edoherrera   60u  IPv4 2219999      0t0  TCP xxx.xxx.x.xxx:41832->xxx.xxx.xx.xx:www (CLOSE_WAIT)
  ld-linux. 4583 edoherrera   69u  IPv4 2220129      0t0  TCP xxx.xxx.x.xxx:44713->xxx.xx.xxx.xx:www (CLOSE_WAIT)
  ld-linux. 4583 edoherrera   74u  IPv4 2220130      0t0  TCP xxx.xxx.x.xxx:44714->xxx.xx.xxx.xx:www (CLOSE_WAIT)
  firefox-b 5744 edoherrera   63u  IPv4 2330829      0t0  TCP xxx.xxx.x.xxx:59972->xx.xxx.xx.xxx:www (ESTABLISHED)
  

• Ver archivos borradosLista archivos borrados pero que algún proceso aún mantiene abierto
  .Fuente(http://administratosphere.wordpress.com/2008/04/16/tips-on-using-lsof/).
  
  COMMAND     PID         USER   FD   TYPE DEVICE      SIZE NLINK    NODE NAMEls         2121         root    0u   CHR 136,16               0      18 /dev/pts/16 (deleted)
  ls         2121         root    1u   CHR 136,16               0      18 /dev/pts/16 (deleted)
  updatedb   3556         root    3r   REG  253,7   7095427     0  590081 /var/lib/mlocate/mlocate.db
  syslog-ng  4388         root    5u  FIFO  253,6               0  263568 /usr/local/nagios/var/rw/syslog-ng.pipe (deleted)
  
• Ayuda de lsof
  #lsof -h