Linux下如何知道文件被那個進程寫

　　一個文件正在被進程寫 我想查看這個進程 文件一直在增大 找不到誰在寫 使用lsof也沒找到

　　這個問題挺有普遍性的，解決方法應該很多，這里我給大家提個比較直觀的方法。

　　linux下每個文件都會在某個塊設備上存放，當然也都有相應的inode, 那么透過vfs.write我們就可以知道誰在不停的寫入特定的設備上的inode。

　　幸運的是systemtap的安裝包里帶了inodewatch.stp，位于/usr/local/share/doc/systemtap/examples/io目錄下，就是用來這個用途的。

　　我們來看下代碼：

　　$ cat inodewatch.stp

　　#! /usr/bin/env stap

　　probe vfs.write, vfs.read

　　{

　　# dev and ino are defined by vfs.write and vfs.read

　　if (dev == MKDEV($1,$2) # major/minor device

　　&& ino == $3)

　　printf ("%s(%d) %s 0x%x/%u\n",

　　execname(), pid(), probefunc(), dev, ino)

　　}

　　這個腳本的使用方法如下： stap inodewatch.stp major minor ino

　　下面我們構造個場景： dd不停的寫入一個文件，查出這個文件的ino, 以及它所在設備的major, minor, 運行stap腳本就可以得到答案。

　　場景交代好了，我們來演示下：

　　$ pwd

　　/home/chuba

　　$ df

　　Filesystem 1K-blocks Used Available Use% Mounted on

　　...

　　/dev/sdb1 1621245336 825209568 713681236 54% /home

　　...

　　$ ls -al /dev/sdb1

　　brw-rw---- 1 root disk 8, 17 Oct 24 11:22 /dev/sdb1

　　$ rm -f test.dat && dd if=/dev/zero of=test.dat

　　^C9912890+0 records in

　　9912890+0 records out

　　5075399680 bytes (5.1 GB) copied, 26.8189 s, 189 MB/s

　　這個終端模擬文件的不停寫入，同時在另外一個終端查驗誰干的。這里我們已經知道設備的major/minor為8/17

　　$ stat -c '%i' test.dat

　　25337884

　　$ sudo stap /usr/local/share/doc/systemtap/examples/io/inodewatch.stp 8 17 25337884

　　dd(740) vfs_write 0x800011/25337884

　　dd(740) vfs_write 0x800011/25337884

　　dd(740) vfs_write 0x800011/25337884

　　dd(740) vfs_write 0x800011/25337884

　　dd(740) vfs_write 0x800011/25337884

　　dd(740) vfs_write 0x800011/25337884

　　...

　　看到了吧，dd是罪魁禍首，pid是740, 搞定收工!

　　小結： systemtap處理這種問題很是神器。

原文轉自：http://blogread.cn/it/article/6557