12.8　列出正在使用特定文件的用户

lsof [file]

在上一节中，你看到了特定的用户打开了什么文件。现在反过来，看看特定的文件正在由谁使用。为此，只要在lsof后面输入文件在系统中的路径就可以了。例如，让我们来看看谁正在使用SSH守护进程（daemon），远程连接到这台计算机的用户会使用该进程（记住，必须以root用户来运行lsof）。

  1. # lsof /usr/sbin/sshd
  2. COMMAND   PID   USER  TYPE  NAME
  3. sshd     7814   root   REG  /usr/sbin/sshd
  4. sshd    10542   root   REG  /usr/sbin/sshd
  5. sshd    10548  scott   REG  /usr/sbin/sshd

这就是想要的结果： 两个用户，即root和scott。如果这里出现了意想不到的用户，如4ackordood，就说明你的系统被盗用了。

说明　是的，从我们的角度来看，sshd只是一个程序；但对于Linux来说，/usr/sbin/sshd只不过是一个文件。