Linux 审计日志 - 带有失败退出代码的成功事件

Question

所以假设我们在 page 76 的底部有这个事件type=SYSCALL success=yes和 exit=11
我不明白这个对内核的系统调用是否成功。成功字段设置为 yes所以看起来系统调用成功但退出代码设置为11根据this非零 (1-255) 退出状态表示失败。

那么这算不算失败呢？当成功字段设置为是时，它怎么可能是失败的。

Answer 1

每当有一个不成功的 SYSCALL 时，退出值将是负数，可以与错误表进行比较以找出错误的类型。例如，如果退出代码为 -1 的 SYSCALL 不成功，则意味着它是 https://github.com/torvalds/linux/blob/master/include/uapi/asm-generic/errno-base.h 中所述的 EPREM(权限错误)。 .
虽然我们有一个成功的 SYSCALL，但退出代码对于不同的系统调用可能意味着不同的东西。例如，对于打开的 SYSCALL，退出值将代表已打开文件的 FD。对于读取的 SYSCALL，退出值将代表读取的字节数。