Linux 审计日志 - 带有失败退出代码的成功事件

【问题标题】：Linux audit logs - successful event with failure exit codeLinux 审计日志 - 带有失败退出代码的成功事件
【发布时间】：2020-10-01 10:41:37
【问题描述】：

假设我们在page 76 的底部有这个事件，其中type=SYSCALL success=yes和exit=11

我不明白这个对内核的系统调用是否成功。成功字段设置为yes，因此系统调用似乎成功，但退出代码设置为11，根据this，非零（1-255）退出状态表示失败。

那么这算不算失败？成功字段设置为yes，怎么可能是失败。

【问题讨论】：

【解决方案1】：

每当有一个不成功的 SYSCALL 时，退出值将是负数，可以与错误表进行比较以找出错误的类型。例如，如果退出代码为 -1 的 SYSCALL 不成功，则意味着它是一个 EPREM（权限错误），如 https://github.com/torvalds/linux/blob/master/include/uapi/asm-generic/errno-base.h 所述。

虽然我们有一个成功的 SYSCALL，但退出代码对于不同的系统调用可能意味着不同的东西。例如，对于打开的 SYSCALL，退出值将代表已打开文件的 FD。对于读取的 SYSCALL，退出值将代表读取的字节数。

【讨论】：