請教solaris審計(jì)數(shù)據(jù)解析問題

fordme

solaris9中做審計(jì)，想解析exec_args token(policy已經(jīng)將exec args開關(guān)打開)，在/usr/include/bsm/audit_record.h中，沒有發(fā)現(xiàn)有這個token，但在solaris文檔中有，根據(jù)token_id得到exec_args的數(shù)據(jù)，發(fā)現(xiàn)數(shù)據(jù)長度有問題，在audit_record.h中有一個au_to_exec_args函數(shù)，是不是需要使用這個函數(shù)進(jìn)行解析，但不知道怎么用，請求使用過的高手指點(diǎn)一二。

fordme

解決了，但是還是不會用au_to_exec_args函數(shù)。
是一個字節(jié)一個字節(jié)的摳出來的。
在這里把他的結(jié)構(gòu)寫出來，希望以后遇到的可以少走些彎路，希望知道au_to_exec_args系列函數(shù)用法的繼續(xù)討論。
struct exec_args
{
    int count;//參數(shù)的個數(shù)
    char *args;//參數(shù)字串
}

注意的是：args包含的參數(shù)間使用\0隔開，參數(shù)的個數(shù)包含使用的exec命令。
例如exec命令是ls，則count是1，那么args的內(nèi)容是“l(fā)s\0”
若exec命令是ls -l，則count是2，那么args的內(nèi)容是"ls\0-l\0"