return 标记包含系统调用的返回状态 (u_error) 以及进程返回值 (u_rval1)。此标记具有三个字段:
标记 ID 字段,将此标记标识为 return 标记
系统调用错误状态字段
系统调用返回值字段
return 标记始终作为内核针对系统调用生成的审计记录的一部分返回。在应用程序审计中,此标记指示退出状态以及其他返回值。
praudit 命令可按如下方式显示系统调用的 return 标记:
return,failure: Operation now in progress,-1 |
praudit -x 命令可按如下方式显示 return 标记:
<return errval="failure: Operation now in progress" retval="-1/"> |