Linux proc详解

Linux procfs详解 
1.0 proc文件系统总览 
在类Unix系统中体现了一种良好的抽象哲学，就是几乎所有的数据实体都被抽象成一个统一的接口--文件来看待，这样我们就可以用一些简单的基本工具完成大量复杂的操作。在Linux中存在着一类 
特殊的伪文件系统，用于使用与文件接口统一的操作来完成各种功能，例如ptyfs、devfs、sysfs和procfs。而procfs就是其中应用最广泛的一种伪文件系统。 
procfs是Linux内核信息的抽象文件接口，大量内核中的信息以及可调参数都被作为常规文件映射到一个目录树中，这样我们就可以简单直接的通过echo或cat这样的文件操作命令对系统信息进行查取 
和调整了。同时procfs也提供了一个接口，使得我们自己的内核模块或用户态程序可以通过procfs进行参数的传递。在当今的Linux系统中，大量的系统工具也通过procfs获取内核参数，例如ps、 
lspci等等，没有procfs它们将可能不能正常工作。 
procfs的使用如同常规的文件系统一样，例如加载一个procfs (首先确定你的内核已经支持procfs默认如此)： 
# mount -t proc none /proc 
也可以在/etc/fstab中加入如下一行使系统在启动时自动加载procfs(大多数系统中也是默认如此)： 
none /proc proc defaults 0 0 
在proc文件系统中，主要包含三大类内容，进程相关部分，系统信息部分，以及系统子系统部分。在下面我们可以看到一个典型的procfs布局： 
> ls /proc 
1 2 2166 2281 cmdline interrupts meminfo stat 
13 2001 2167 3 cpuinfo iomem misc swaps 
1646 2042 2168 4 crypto ioports modules sys 
1780 2058 2169 5 devices irq mounts sysrq-trigger 
1834 2087 2170 6 dma isapnp mtrr sysvipc 
1838 2096 2171 7 driver kcore net tty 
1857 2107 2207 71 execdomains kmsg partitions uptime 
1877 2117 2208 8 fb ksyms pci version 
1889 2143 2216 9 filesystems loadavg scsi 
1905 2153 2217 apm fs locks self 
1960 2165 2219 bus ide mdstat slabinfo 
在上面的布局中我们可以看到procfs包含的内容: 
* 进程相关部分 (只读) 
这部分文件都是以数字为名的子目录，这个数字就是相关进程的进程ID，在 1.1节中会详细介绍进程相关子目录的结构和信息。 
需要注意的是procfs中进程子系统部分的一个特殊点，就是/proc/self，它是指向当前执行进程的符号连接，或者说--是指向未来你将要执行指令的心灵感应： 
> cat self/cmdline 
catself/cmdline 
在这个命令中，我们希望它显示当前进程的cmdline参数，它恰恰就显示了当前进程--我们所执行的这条命令，cat self/cmdline。幸好这条指令显示出的信息会忽略空格，导致显示略微的不正常，否则我们倒是可以很容易的使用`cat self/cmdline`这样的命令制造出永远循环执行的进程来。;> 
* 内核信息部分 (只读) 
这部分文件同样处于/proc的顶层目录，不过它们大部分都是常规、只读的文本文件，可以直接用cat查看信息。作为系统内核执行体的抽象，我们也可以把它看作内核"进程"的信息部分，当然虽然并不存在这个进程实体。这里比较特别的一个文件是 /proc/cmdline ： 
>cat cmdline 
ro root=/dev/hda2 
在这个文件中存放的是系统内核引导时的命令行参数。此部分内容将在 1.3节中说明。 
* 内核各子系统相关部分 (部分可调) 
这部分是系统内核参数调整的重头戏，在procfs中，除去上面所述的两部分内容外，还有很大一部分信息文件被存放在了一些并非以数字命名的特殊目录中，这些目录下的信息就是内核各个重要子系统的信息和可调参数，主要有: 
bus 总线信息(只读) 
drivers 驱动信息(只读) 
fs 文件系统特别信息(只读) 
ide IDE接口信息(只读) 
irq IRQ信息(只读) 
net 网络子系统信息(只读) 
scsi SCSI系统信息(只读) 
sysvipc IPC子系统信息(只读) 
tty tty子系统信息(只读) 
sys 系统内核可调参数 (可调) 
作为Linux系统内核参数的抽象文件接口，Linux内核的大部分默认可调参数都被放在了 /proc/sys目录下，这些参数都以常规文件的形式体现，并且可以用echo/cat等文件操作命令进行调整，调整的效果是即时的，并且在系统运行的整个生命周期之间都有效(知道再次改变它们或者系统重启)。 
当然Linux也提供了另外一种途径sysctl来调整这些参数，sysctl是从BSD系统继承而来的一种系统参数动态调整方法，sysctl的使用更为简单，并且可以使用/etc/sysctl.conf保存配置以在下次启动时自动加载这些设置。对于sysctl可调参数体积调整方法将在另一篇文章中说明。 
对于内核信息和参数的说明将在 1.4 - 1.7节中解释；对于/proc/sys中的可调参数将在第二章中详细说明。 
1.1 进程相关子目录 
在/proc目录中包含了一些以数字为名的子目录,这些目录就是系统当前运行进程的proc抽象。每一个目录都以相关联的活动系统进程PID为目录名，在目录下包含了一些文件，用于显示进程相关的信息。每个进程映射子目录的结构都如 Table 1-1. 
.............................................................................. 
文件名 内容 
cmdline 执行进程的命令行参数 
cpu 在SMP系统中近程最后的执行CPU (2.4)(smp) 
cwd 到当前工作目录的符号链接 
environ 环境变量 
exe 链接到进程对应的源可执行文件 
fd 包含所有进程打开的文件描述符的子目录 
maps 进程内存映射，包含进程执行空间以及动态链接库信息 (2.4) 
mem 进程内存空间 
root 连接到进程执行时的 / (root)目录 
stat 进程状态 
statm 进程内存状态信息 
status 进程状态总览，包含进程名字、当前状态和各种信息统计 
.............................................................................. 
举例来说,要获取一个进程的状态,只要读取下面进程PID子目录下的status文件 /proc/PID/status: 
>cat /proc/self/status 
Name: cat 
State: R (running) 
Pid: 5452 
PPid: 743 
TracerPid: 0 (2.4) 
Uid: 501 501 501 501 
Gid: 100 100 100 100 
Groups: 100 14 16 
VmSize: 1112 kB 
VmLck: 0 kB 
VmRSS: 348 kB 
VmData: 24 kB 
VmStk: 12 kB 
VmExe: 8 kB 
VmLib: 1044 kB 
SigPnd: 0000000000000000 
SigBlk: 0000000000000000 
SigIgn: 0000000000000000 
SigCgt: 0000000000000000 
CapInh: 00000000fffffeff 
CapPrm: 0000000000000000 
CapEff: 0000000000000000 
如同第一节所说,/proc/self连接指向读取它自身的进程映像，在之后一节的例子中都将以它作为我们的范例。 
这条命令显示的信息与你通过 /bin/ps 命令获取到的进程信息基本相同,这恰巧是因为,ps也是通过读取procfs来获取这些信息的。statm 文件包含了更详细的进程内存状态，statm的详细内容按照数据项由左向右依次如 Table 1-2. 
> cat /proc/self/statm 
105 105 93 4 12 89 12 
.............................................................................. 
数据项 内容 
size 程序大小 
resident 常驻内存空间大小 
shared 共享内存页数 
trs 代码段占用内存页数 
drs 数据/堆栈段占用内存页数 
lrs 引用库占用内存页数 
dt 脏页数量 
.............................................................................. 
1.2 内核数据 
相似于进程入口，在/proc目录下的其他一些文件给出了内核信息数据，这些文件包含了系统当前运行内核相关信息。/proc目录下内核相关信息文件在Table 1-3 中列出，依赖于您的系统配置和加载的内核模块，在您的系统中的显示可能会略有不同。 
.............................................................................. 
文件 内容 
apm 高级电源管理信息 
bus bus总线相关信息 
cmdline 内核引导命令行参数 
cpuinfo cpu信息 
devices 当前可用设备 (包含所有块设备和字符设备) 
dma DMA通道使用状况 
filesystems 当前内核支持的文件系统 
driver 驱动相关信息 (2.4) 
execdomains 安全相关的Execdomains信息 (2.4) 
fb Frame Buffer 设备 (2.4) 
fs 本地文件系统参数 (2.4) 
ide IDE子系统相关信息的子目录 
interrupts 中断使用状况 
iomem 内存映射图 (2.4) 
ioports I/O端口使用状况 
irq 关联到cpu的irq使用状况 (2.4)(smp?) 
isapnp ISA PnP (即插即用) 信息 (2.4) 
kcore Kernel core image，内核转储映像 (2.4) 
kmsg Kernel messages 
ksyms Kernel symbol table,内核符号表 
loadavg 最后1、5 、15 分钟的平均负载 
locks Kernel locks, 内核锁信息 
meminfo 内存信息 
misc 内核信息杂项 
modules 已加载内核模块列表 
mounts 已加载的文件系统 
net 网络子系统信息 
partitions 已识别的本地系统分区表 
pci PCI总线相关信息,在新版本中指向 /proc/bus/pci/ 目录 (2.4) 
rtc rtc实时钟 
scsi SCSI 总线信息 
slabinfo Slab 内存分配池信息 
stat 内核状态总览 
swaps Swap 空间状态 
sys 内核系统参数 (参见第二章) 
sysvipc SysVIPC 资源状态 (msg, sem, shm) (2.4) 
tty TTY驱动信息 
uptime 系统 uptime 
version 内核版本 
video video 资源状态 (2.4) 
.............................................................................. 
在proc文件系统中大多数文件都是可读的文本,可以直接使用系统中的常规文件处理命令进行操作。当然,这也依赖于目标文件的权限属性。例如要查看系统中断信息 /proc/interrupts: 
> cat /proc/interrupts 
CPU0 
0: 8728810 XT-PIC timer 
1: 895 XT-PIC keyboard 
2: 0 XT-PIC cascade 
3: 531695 XT-PIC aha152x 
4: 2014133 XT-PIC serial 
5: 44401 XT-PIC pcnet_cs 
8: 2 XT-PIC rtc 
11: 8 XT-PIC i82365 
12: 182918 XT-PIC PS/2 Mouse 
13: 1 XT-PIC fpu 
14: 1232265 XT-PIC ide0 
15: 7 XT-PIC ide1 
NMI: 0 
在2.4版内核中,当使用了SMP时这个文件末尾会多出两行SMP相关属性 LOC & ERR : 
> cat /proc/interrupts 
CPU0 CPU1 
0: 1243498 1214548 IO-APIC-edge timer 
1: 8949 8958 IO-APIC-edge keyboard 
2: 0 0 XT-PIC cascade 
5: 11286 10161 IO-APIC-edge soundblaster 
8: 1 0 IO-APIC-edge rtc 
9: 27422 27407 IO-APIC-edge 3c503 
12: 113645 113873 IO-APIC-edge PS/2 Mouse 
13: 0 0 XT-PIC fpu 
14: 22491 24012 IO-APIC-edge ide0 
15: 2183 2415 IO-APIC-edge ide1 
17: 30564 30414 IO-APIC-level eth0 
18: 177 164 IO-APIC-level bttv 
NMI: 2457961 2457959 
LOC: 2457882 2457881 
ERR: 2155 
NMI是每个CPU上产生的不可屏蔽中断(Non Maskable Interrupt)的计数； 
LOC是每个CPU上APIC本地中断的计数。 
ERR是SMP系统中IO-APIC总线失败错误的计数，如果这个数量太高，可能你的内核运行会有问题，这时候就需要测试内核，查看硬件和APIC是否有兼容性问题。 
在2.4内核中irq相关的内核信息被放在/proc/irq目录下，在这个目录下包含一个文件 
prof_cpu_mask和每个IRQ独属的一个子目录。 
> ls /proc/irq/ 
0 10 12 14 16 18 2 4 6 8 prof_cpu_mask 
1 11 13 15 17 19 3 5 7 9 
> ls /proc/irq/0/ 
smp_affinity 
2.4内核中可以使用IRQ绑定属性，是某个或全部的IRQ挂接到SMP集合中的某个CPU上，这个特性可以通过prof_cpu_mask和smp_affinity来调整。在默认情况下这两个文件的内容都"ffffffff"，作为一个位映射而存在，你可以使用echo命令来指定一个CPU处理IRQ事件。 
> cat /proc/irq/0/smp_affinity 
ffffffff 
> echo 1 > /proc/irq/prof_cpu_mask 
这天命令的结果就是系统中只有第一个CPU可以捕获IRQ事件，如果您使用的是"echo 5"的话那么第一和第四个CPU都可以捕获和处理事件(1 + 4)。 
在默认情况下IRQ事件由IO-APIC分配，它将轮询每个配置中的CPU，等待其中一个处理事件响应。 
在slabinfo文件文件中我们可以看到Linux内核的内存分配池信息，2.4版本内核中使用slab算法来为内核对象(网络缓存、目录高速缓存以及文件分配表等等)分配内存页。 
在/proc目录下还有三个重要的目录: net，scsi和sys，我们会在后面的章节中陆续描述；此外如果您的系统中没有SCSI设备(或没有SCSI驱动)的话，/proc/scsi目录是不存在的。 
1.3 IDE设备 /proc/ide 
/proc/ide目录下包含了所有内核识别出的IDE设备的信息。在/proc/ide目录下包含drivers文件和若干个以IDE设备名或IDE控制器名为名的子目录。 
> ls -alF /proc/ide/ 
total 3 
dr-xr-xr-x 4 root root 0 10月 9 23:36 ./ 
dr-xr-xr-x 54 root root 0 2004-10-10 ../ 
-r--r--r-- 1 root root 0 10月 9 23:36 drivers 
lrwxrwxrwx 1 root root 8 10月 9 23:36 hda -> ide0/hda/ 
lrwxrwxrwx 1 root root 8 10月 9 23:36 hdb -> ide0/hdb/ 
lrwxrwxrwx 1 root root 8 10月 9 23:36 hdc -> ide1/hdc/ 
dr-xr-xr-x 4 root root 0 10月 9 23:36 ide0/ 
dr-xr-xr-x 3 root root 0 10月 9 23:36 ide1/ 
-r--r--r-- 1 root root 0 10月 9 23:36 piix 
drivers文件包含了当前加载的IDE设备驱动: 
> cat /proc/ide/drivers 
ide-floppy version 0.99.newide 
ide-disk version 1.17 
ide-default version 0.9.newide 
在/proc/ide目录下还可以看到其他一些以设备命名的目录，在这些目录下我们可以看到更详细的信息。piix是IDE控制芯片组的名字，在你的系统中可能是其他名字。此外还包含若干个(一般的PC上是2个)IDE控制器为名的目录，以及以IDE终端设备名命名的快捷方式，它门将链接到控制器目录下对应的设备文件上。 
在ide*目录中我们可以得到更多的信息，如 Table 1-4. 
.............................................................................. 
文件名 内容 
channel IDE通道 (0 or 1) 
config 配置 (only for PCI/IDE bridge) 
mate Mate name 
model IDE控制器的类型/芯片组 
hd? IDE总线上连接的可用设备 
.............................................................................. 
当前连接在控制器上的每个设备也将成为一个单独的子目录，如 Table 1-5. 
.............................................................................. 
文件名 内容 
cache 设备缓存大小 
capacity 设备数据块数量 (按 512Byte 块) 
driver 驱动和版本 
geometry 物理和逻辑的设备参数 
identify 设备标示块 
media 媒体类型 
model 设备标识符(型号或名字) 
settings 设备配置参数 
smart_thresholds IDE disk management thresholds 
smart_values IDE disk management values 
.............................................................................. 
在这里比较有用的信息是settings文件，它包含了一个驱动器相关的信息总览： 
# cat /proc/ide/ide0/hda/settings 
name value min max mode 
---- ----- --- --- ---- 
bios_cyl 526 0 65535 rw 
bios_head 255 0 255 rw 
bios_sect 63 0 63 rw 
breada_readahead 4 0 127 rw 
bswap 0 0 1 r 
file_readahead 72 0 2097151 rw 
io_32bit 0 0 3 rw 
keepsettings 0 0 1 rw 
max_kb_per_request 122 1 127 rw 
multcount 0 0 8 rw 
nice1 1 0 1 rw 
nowerr 0 0 1 rw 
pio_mode write-only 0 255 w 
slow 0 0 1 rw 
unmaskirq 0 0 1 rw 
using_dma 0 0 1 rw 
1.4 网络信息 /proc/net 
/proc/net 子目录包含了系统中网络相关的内核统计信息和视图，常规的文件列表如Table 1-7 中说明； 如果你的内核支持IPV6，那么还有一些IPV6相关信息在 Table 1-6中 
.............................................................................. 
文件名 内容 
udp6 UDP sockets (IPv6) 
tcp6 TCP sockets (IPv6) 
raw6 Raw 设备状态 (IPv6) 
igmp6 系统当前加入的IP多播地址 (IPv6) 
if_inet6 IPv6 网络接口地址列表 
ipv6_route IPv6 内核路由表 
rt6_stats IPv6 全局路由表状态 
sockstat6 Socket 状态 (IPv6) 
snmp6 Snmp 数据 (IPv6) 
.............................................................................. 
.............................................................................. 
文件名 内容 
arp 内核 ARP 表 
atm atm设备接口信息 
drivers 加载的驱动模块信息 
dev 网络设备以及状态 
dev_mcast 二层多播组以及监听设备信息 
(包含interface index, label, number of references, number of 
bound addresses). 
dev_stat 网络设备状态 
ip_fwchains ipchains 防火墙规则链 (2.2) 
ip_fwnames ipchains 防火墙规则链名 (2.2) 
ip_masq 包含IP伪装映射表的目录 (2.2) 
ip_masquerade 主IP伪装映射表 (2.2) 
netstat 网络状态 
raw 原始设备状态 
route 内核路由表 
rpc 包含rpc信息的目录 
rt_cache 路由cache 
snmp SNMP 数据 
sockstat Socket 状态 
tcp TCP sockets 
tr_rif Token ring RIF 令牌环网路由表 
udp UDP sockets 
unix UNIX domain sockets 
wireless Wireless 接口数据 (Wavelan etc) 
igmp 主机当前加入的IP多播组地址 
psched 全局数据包调度参数 
netlink PF_NETLINK sockets 列表 
ip_mr_vifs 多播虚拟地址列表 
ip_mr_cache 多播路由cache列表 
.............................................................................. 
由于2.4之后的内核引入了netfilter/iptables防火墙，因此在防火墙部分的信息与2.2略有不同： 
.............................................................................. 
文件名 内容 
ip_tables_matches iptables支持的过滤模式 
ip_tables_names iptables规则表名字 
ip_tables_targets iptables规则链目标 
ip_conntrack iptables状态检测跟踪表 
.............................................................................. 
您可以使用这些信息来查看当前系统中可用的网络设备，以及这些设备上通过的流量和路由信息: 
> cat /proc/net/dev 
Inter-|Receive |[... 
face |bytes packets errs drop fifo frame compressed multicast|[... 
lo: 908188 5596 0 0 0 0 0 0 [... 
ppp0:15475140 20721 410 0 0 410 0 0 [... 
eth0: 614530 7085 0 0 0 0 0 1 [... 
...] Transmit 
...] bytes packets errs drop fifo colls carrier compressed 
...] 908188 5596 0 0 0 0 0 0 
...] 1375103 17405 0 0 0 0 0 0 
...] 1703981 5535 0 0 0 3 0 0 
如果系统中使用了Ethernet Channel特性，使若干个物理接口绑定为一个逻辑设备的话，这个逻辑设备将会拥有一个以设备名命名的子目录，其中包含一些bond模块相关的特殊信息。例如把eth0和eth1绑定为设备 bond0 ，那么可以在 /proc/net/bond0/目录下看到bond的特殊信息，例如主从接口、链路状态等等。 
1.5 SCSI 设备信息 
如果你的系统中含有任何SCSI设备，那么在 /proc/scsi 目录下可以看到系统识别到的SCSI设备相关信息: 
>cat /proc/scsi/scsi 
Attached devices: 
Host: scsi0 Channel: 00 Id: 00 Lun: 00 
Vendor: IBM Model: DGHS09U Rev: 03E0 
Type: Direct-Access ANSI SCSI revision: 03 
Host: scsi0 Channel: 00 Id: 06 Lun: 00 
Vendor: PIONEER Model: CD-ROM DR-U06S Rev: 1.04 
Type: CD-ROM ANSI SCSI revision: 02 
系统中的SCSI设备将映射到/proc/scsi目录下形成一个子树，按照对应的设备模块和设备总线号可以查看相应设备的参数信息，例如一个Adaptec AHA-2940 SCSI 适配器: 
> cat /proc/scsi/aic7xxx/0 
Adaptec AIC7xxx driver version: 5.1.19/3.2.4 
Compile Options: 
TCQ Enabled By Default : Disabled 
AIC7XXX_PROC_STATS : Disabled 
AIC7XXX_RESET_DELAY : 5 
Adapter Configuration: 
SCSI Adapter: Adaptec AHA-294X Ultra SCSI host adapter 
Ultra Wide Controller 
PCI MMAPed I/O Base: 0xeb001000 
Adapter SEEPROM Config: SEEPROM found and used. 
Adaptec SCSI BIOS: Enabled 
IRQ: 10 
SCBs: Active 0, Max Active 2, 
Allocated 15, HW 16, Page 255 
Interrupts: 160328 
BIOS Control Word: 0x18b6 
Adapter Control Word: 0x005b 
Extended Translation: Enabled 
Disconnect Enable Flags: 0xffff 
Ultra Enable Flags: 0x0001 
Tag Queue Enable Flags: 0x0000 
Ordered Queue Tag Flags: 0x0000 
Default Tag Queue Depth: 8 
Tagged Queue By Device array for aic7xxx host instance 0: 
{255,255,255,255,255,255,255,255,255,255,255,255,255,255,255,255} 
Actual queue depth per device for aic7xxx host instance 0: 
{1,1,1,1,1,1,1,1,1,1,1,1,1,1,1,1} 
Statistics: 
(scsi0:0:0:0) 
Device using Wide/Sync transfers at 40.0 MByte/sec, offset 8 
Transinfo settings: current(12/8/1/0), goal(12/8/1/0), user(12/15/1/0) 
Total transfers 160151 (74577 reads and 85574 writes) 
(scsi0:0:6:0) 
Device using Narrow/Sync transfers at 5.0 MByte/sec, offset 15 
Transinfo settings: current(50/15/0/0), goal(50/15/0/0), user(50/15/0/0) 
Total transfers 0 (0 reads and 0 writes) 
1.6 并口信息 /proc/parport 
/proc/parport 包含系统并口信息，按照并口端口号(0,1,2,...)每个设备将映射到一个子目录中。在这个目录下包含的信息如 Table 1-8. 
.............................................................................. 
文件名 内容 
autoprobe IEEE-1284 标准兼容的设备ID信息 
devices 端口使用的设备驱动列表 
hardware 端口使用的base address, IRQ line 和 DMA channel. 
irq 端口使用的IRQ号，你可以写入一个新值指定IRQ号 (IRQ number or none). 
.............................................................................. 
1.7 TTY信息 /proc/tty 
------------------------- 
在/proc/tty目录中包含了系统中当前在用的tty及其信息，在这个目录中也可以找到设备 
信息和线路disciplines，如 Table 1-9. 
Table 1-9: /proc/tty 中的文件 
.............................................................................. 
文件名 内容 
drivers 设备及引用计数 
ldiscs registered line disciplines 
driver/serial tty线路状态 
.............................................................................. 
要查看系统中的当前在用ttys，可以简单的查看 /proc/tty/drivers: 
> cat /proc/tty/drivers 
pty_slave /dev/pts 136 0-255 pty:slave 
pty_master /dev/ptm 128 0-255 pty:master 
pty_slave /dev/ttyp 3 0-255 pty:slave 
pty_master /dev/pty 2 0-255 pty:master 
serial /dev/cua 5 64-67 serial:callout 
serial /dev/ttyS 4 64-67 serial 
/dev/tty0 /dev/tty0 4 0 system:vtmaster 
/dev/ptmx /dev/ptmx 5 2 system 
/dev/console /dev/console 5 1 system:console 
/dev/tty /dev/tty 5 0 system:/dev/tty 
unknown /dev/tty 4 1-63 console 
本章介绍了 /proc 文件系统提供的系统运行时信息. 在 /proc 文件系统中，您不仅可以简单直接的访问进程相关信息，也可以通过它查看各个方面的系统内核状态。 
在 /proc 文件系统中，大部分信息都以常规或文本文件的形式反映出来，您可以任意使用简单的文件处理命令来查看它(只要权限允许)；如果某些文件不能被查看或者产生乱码，那么它可能是一些特殊类型的文件，需要其它手段来处理，例如 /proc/kcore 可以通过gdb等内核调试工具来查看，而其他一些数据则可以被ps、top等工具所理解。
在这一章中，我们对procfs的结构进行了一下纵览，对它的作用也该有一些了解了。在procfs中除了得到大量系统内核信息之外，它最重要的一个作用莫过于对进程的监控和分析了。有了procfs，你也可以写出自己的ps/top来，甚至不用任何编程工具...... 
比如，很多Linux新手都常常遇到的一个问题，就是夹在了一个文件系统之后不能卸载，系统报告这样的错误: 
代码: 
# umount /db1                                            
umount: /db1: device is busy 
经验老到的管理员们都知道，这个问题是由于某些进程的工作目录还在这个目录下，导致系统卷忙而无法卸载，只要杀掉那个进程，文件系统就可以正常卸载了。但究竟是哪个进程还在那里呢？找起来恐怕也要费半天神。虽然有pfile和lsof之类的工具可用，但总 也有应急的时候吧，这棵小脚本就可以为你解忧。 
代码: 
#!/bin/bash 
#pcwd.sh,查找系统中工作在目标路径下的进程，使用方法: pcwd.sh 路径名 
test $1 || { echo "Usage: pcwd.sh path(absolute path)" && exit }; 
PS=`ls /proc/*[0-9]*|grep :` ; 
PSList=`echo $PS |tr -d '/proc'|tr -d ':'`; 
for PID in $PSList 
  do 
  test -e /proc/$PID && (ls -alF /proc/$PID/cwd|grep $1 >/dev/null ) && echo "Process $PID (`cat /proc/$PID/status |grep Name |tr -d 'Name: '`) is work in $1 "; 
done 
就是这样短短的几行代码，甚至不用任何的临时文件，我们就获取了执行命令前的当前系统进程表映像，然后遍历每个进程的proc目录，找到占用我们目录的"坏进程"。 
在我的系统上的输出: 
代码: 
[[e-mail]]/tmp# ./pcwd.sh 
Usage: pcwd.sh path(absolute path) 
[[e-mail]]/tmp# ./pcwd.sh /usr 
Process 1283 (vi) is work in /usr ; 
Process 3113 (bsh) is work in /usr ; 
在上面的例子中,我们只用了最简单的四五个文件和文本处理命令,就完成了这个小程序,你甚至可以把所有的语句写在一行上,通过命令行或alias定义就完成这个功能。 
把它稍稍修改一下就是另外一个功能,查找正在使用某个文件的进程: 
代码: 
#!/bin/bash 
test $1 || { echo "Usage: pfile.sh filename(absolute path)" && exit }; 
PS=`ls /proc/*[0-9]*|grep :` ; 
PSList=`echo $PS |tr -d '/proc'|tr -d ':'`; 
for PID in $PSList 
  do 
  test -e /proc/$PID && (ls -alF /proc/$PID/fd|grep $1 >/dev/null ) && echo "Process $PID (`cat /proc/$PID/status |grep Name |tr -d 'Name: '`) is openning $1;"; 
done 
在我系统上的输出: 
代码: 
[[e-mail]]/tmp# ./pfile.sh 
Usage: pfile.sh filename(absolute path) 
[[e-mail]]/tmp# ./pfile.sh access_log 
Process 109 (httpd) is openning access_log; 
Process 110 (httpd) is openning access_log; 
Process 112 (httpd) is openning access_log; 
Process 113 (httpd) is openning access_log; 
Process 116 (httpd) is openning access_log; 
Process 99 (httpd) is openning access_log; 

目标文件名可以使用相对或绝对路径，甚至可以只输入半个文件名...当然路径越精确查找的结果也越准确。在这个例子中，很容易就可以扩展它的功能,让它实现类似lsof的功能，可以列举系统中所有正在被使用的文件。好啦，我们做一个有用点的程序。 
ps，每台机器上都有吧。不幸的是，在某些极端环境下，系统中的PS是不可靠的，比如，坏了...或被人替换了。 
很多恶意的黑客入侵系统之后会在系统上安装一类叫rootkit的后门包，用来替换系统中ps、netstat等重要程序以隐藏自己的痕迹，这个时候一般比较稳妥的办法是自己上传一份可靠的系统工具包，或者静态编译的工具包。当然，也可以用这个土办法，直 接从procfs里读取信息。(如果是比较高明的黑客，使用LKM等内核后门那这个就没有用了哦) 
范例:懒人的ps，就叫它lps吧。 
代码: 
#!/bin/bash 
PS=`ls /proc/*[0-9]*|grep :` ; 
PSList=`echo $PS |tr -d '/proc' |tr -d ':' |sort `; 
echo -e "PID PPID UID GID STAT  MEM TTY CMD" 
for PID in $PSList 
  do 
  test -e /proc/$PID && sPID=`cat /proc/$PID/status |grep ^Pid: |awk '{print $2}'` 
  && sPPID=`cat /proc/$PID/status |grep ^PPid: |awk '{print $2}'` 
  && sTTY=`ls -alF /proc/$PID/fd |grep /dev/ |awk '{print $11}' |grep ty |head -n 1` 
  && sUID=`cat /proc/$PID/status |grep ^Uid: |awk '{print $2}'` 
  && sGID=`cat /proc/$PID/status |grep ^Gid: |awk '{print $2}'` 
  && sSTAT=`cat /proc/$PID/status |grep ^State: |awk '{print $2 $3}'` 
  && sMEM=`cat /proc/$PID/status |grep ^VmSize: |awk '{print $2 $3}'` 
  && if [ -e /proc/$PID/exe ] 
  then 
     sCMD=`ls -alF /proc/$PID/exe |awk '{print $11}' |tr -d '$*' ` 
  else 
     sCMD=`cat /proc/$PID/status |grep ^Name: |awk '{print $2}'` 
     sCMD="[ $sCMD ]" 
  fi 
  echo -e "$sPID $sPPID $sUID $sGID $sSTAT $sMEM $sTTY $sCMD" 
done 
简要介绍,这个lps或列举系统中自身进程(lps)之外的所有进程，然后读取和显示他们的八项属性，依次是:进程ID(PID) 父进程ID(PPID) 属主UID(UID) 属主GID(GID) 当前状态 占用内存 运行终端 完全执行路径。 
在显示格式参考了Linux标准ps输出的一部分，例如某些系统线程没有可执行文件的，就会显示他们的内核名字，例如[ ksoftirqd_CPU0 ] 。 
懒人的PS中没有任何参数，你也可以扩展它的功能，使之能支持按照进程树状显示等等。 
在我系统上的输出: 
代码: 
[[e-mail]]/tmp# ./lps.sh 
PID     PPID    UID     GID     STAT            MEM     TTY     CMD 
1       0       0       0       S(sleeping)     1116kB          /sbin/init 
101     1       0       0       S(sleeping)     2168kB          /usr/local/sbin/sshd 
109     99      99      99      S(sleeping)     6100kB          /usr/local/apache/bin/httpd 
110     99      99      99      S(sleeping)     6100kB          /usr/local/apache/bin/httpd 
112     99      99      99      S(sleeping)     6100kB          /usr/local/apache/bin/httpd 
113     99      99      99      S(sleeping)     6100kB          /usr/local/apache/bin/httpd 
116     99      99      99      S(sleeping)     6100kB          /usr/local/apache/bin/httpd 
118     1       0       0       S(sleeping)     1656kB          /bin/bash 
119     1       0       0       S(sleeping)     1648kB          /bin/bash 
120     1       0       0       S(sleeping)     1648kB          /bin/bash 
128     1       0       0       S(sleeping)     2224kB  /dev/tty1       /bin/login 
1283    3113    0       0       S(sleeping)     1512kB  /dev/ttyp0      /bin/vi 
129     1       0       0       S(sleeping)     1136kB  /dev/tty2       /sbin/getty 
130     1       0       0       S(sleeping)     1136kB  /dev/tty3       /sbin/getty 
131     1       0       0       S(sleeping)     1136kB  /dev/tty4       /sbin/getty 
135     1       0       0       S(sleeping)     1136kB  /dev/tty5       /sbin/getty 
136     1       0       0       S(sleeping)     1136kB  /dev/tty6       /sbin/getty 
137     1       0       0       S(sleeping)     1140kB  /dev/ttyS0      /sbin/getty 
15329   3112    0       0       S(sleeping)     1792kB  /dev/ttyp1      /bin/bash 
2       1       0       0       S(sleeping)                     [ keventd ] 
256     128     0       0       S(sleeping)     1712kB  /dev/tty1       /bin/bash 
3       1       0       0       S(sleeping)                     [ ksoftirqd_CPU0 ] 
3112    101     0       0       S(sleeping)     2452kB  /dev/ptyp1      /usr/local/sbin/sshd 
3113    3112    0       0       S(sleeping)     1728kB  /dev/ttyp0      /bin/bash 
3872    120     0       0       S(sleeping)     1084kB          /bin/sleep 
4       1       0       0       S(sleeping)                     [ kswapd ] 
4       1       0       0       S(sleeping)                     [ kswapd ] 
4       1       0       0       S(sleeping)                     [ kswapd ] 
4089    15329   0       0       S(sleeping)     1664kB  /dev/ttyp1      /bin/bash 
4089    15329   0       0       S(sleeping)     1664kB  /dev/ttyp1      /bin/bash 
5       1       0       0       S(sleeping)                     [ bdflush ] 
6       1       0       0       S(sleeping)                     [ kupdated ] 
99      1       0       0       S(sleeping)     6016kB          /usr/local/apache/bin/httpd 
Solaris上有/usr/proc/bin工具集，里面的ptree和pmap很是好用，甚至比本来的ps还好:P可惜Linux上是没有的，现在你可以自己写一个，用来综合显示更多的进程状态。 
代码: 
#!/bin/bash 
#PROC=`mount |grep 'type proc'|awk '{print $3}'` 
test $1 || { echo "Usage: pstat.sh PID" && exit }; 
PID=$1; 
echo "Process $1 Status..."; 
echo "......................"; 
echo 
cat /proc/$PID/status|grep ^Name: 
cat /proc/$PID/status|grep ^Pid: 
cat /proc/$PID/status|grep ^PPid: 
cat /proc/$PID/status|grep ^Uid: 
cat /proc/$PID/status|grep ^Gid: 
cat /proc/$PID/status|grep ^State: 
cat /proc/$PID/status|grep ^VmSize: 
echo 
CMD=`ls -alF /proc/$PID/exe |awk '{print $11}' |tr -d '$*'`;echo "Command path: $CMD"; 
ARG=`cat /proc/$PID/cmdline`;echo "Command line: $ARG"; 
CWD=`ls -alF /proc/$PID/cwd |awk '{print $11}'`;echo "CWD: $CWD"; 
echo 
ENVI=`cat /proc/$PID/environ`;echo "ENVIRON: $ENVI"; 
echo 
echo 
echo "Process shared object:"; 
echo "......................"; 
cat /proc/$PID/maps |grep $CMD |grep xp; 
cat /proc/$PID/maps |grep .so |grep xp; 
echo 
echo 
echo "Process used file:"; 
echo "......................"; 
ls -alF /proc/$PID/fd |grep '->' |awk '{print $11}' |sort |uniq -c |sort -rn ; 
echo 
这个程序叫pstat.sh，可以显示进程的综合信息。输出分为四段，分别是进程状态(包含父子进程关系、进程信任状以及内存占用)，执行环境(包含进程执行程序，命令行参数和环境变量)，进程执行对象(包含进程执行体和引用的共享库)，最后是进程打开的 所有文件。 
代码: 
[[e-mail]]/tmp# ./pstat.sh 
Usage: pstat.sh PID 
[[e-mail]]/tmp# ./pstat.sh 7238 
Process 7238 Status... 
...................... 
Name:   vi 
Pid:    7238 
PPid:   3113 
Uid:    0       0       0       0 
Gid:    0       0       0       0 
State:  S (sleeping) 
VmSize:     1648 kB 
Command path: /bin/vi 
Command line: vi 
CWD: /usr/ 
ENVIRON: USERNAME=root 
Process shared object: 
...................... 
08048000-08098000 r-xp 00000000 03:01 3891       /bin/vi 
40000000-40013000 r-xp 00000000 03:01 3942       /lib/ld-2.1.3.so 
40016000-40019000 r-xp 00000000 03:01 4002       /lib/libtermcap.so.2.0.8 
4001a000-40107000 r-xp 00000000 03:01 3949       /lib/libc-2.1.3.so 
4010f000-40117000 r-xp 00000000 03:01 3981       /lib/libnss_files-2.1.3.so 

Process used file: 
...................... 
/dev/ttyp0 
/etc/motd 

 

 

 

转http://luckyclouds.iteye.com/blog/675711