Syscall-Referenz

Reserviert, committet oder beides eine virtuelle Speicherregion in einem Zielprozess.

Reserviert oder committet virtuellen Speicher mit erweiterten Parametern (bevorzugter NUMA-Knoten, CFG, Adressanforderungen).

Ändert den Schutz eines committeten virtuellen Speicherbereichs in einem Zielprozess.

Schreibt einen Puffer des Aufrufers in den virtuellen Adressraum eines Zielprozesses.

Liest Bytes aus dem virtuellen Adressraum eines Zielprozesses in einen vom Aufrufer bereitgestellten Puffer.

Decommitet oder gibt eine virtuelle Speicherregion in einem Zielprozess frei.

Liefert Informationen über Seiten im virtuellen Adressraum eines Zielprozesses.

Schreibt veränderte Seiten einer dateigestützten View auf die Platte zurück, analog zu FlushViewOfFile.

Verankert eine virtuelle Speicherregion im Working Set des Prozesses, sodass deren Seiten nicht ausgelagert werden.

Hebt eine zuvor von NtLockVirtualMemory gesetzte Working-Set-Sperre auf.

Wendet eine Informationsklasse auf eine Liste virtueller Speicherbereiche an: Prefetch, Seitenpriorität oder CFG-Opt-in.

Allokiert physische Speicherseiten für Address Windowing Extensions (AWE).

Mappt AWE-allokierte physische Seiten in ein zuvor reserviertes virtuelles Adressfenster.

Gibt zuvor über NtAllocateUserPhysicalPages allokierte physische Seiten frei und führt sie an den Systemseiten-Pool zurück.

Invalidiert den Instruction-Cache für eine Region in einem Zielprozess, damit frisch geschriebener Code ausgeführt werden kann.

Setzt eine systemweite Speicherbarriere auf jeder CPU mit Threads des aktuellen Prozesses.

Öffnet ein Handle auf einen existierenden Prozess mit einer angeforderten Zugriffsmaske.

Erzeugt ein Section-Objekt, gestützt durch eine Datei oder das System-Pagefile, für Shared-Memory-Mapping.

Erzeugt ein Section-Objekt mit erweiterten Parametern (NUMA-Knoten, Adress-Anforderungen, User-Physical-Pages).

Öffnet ein Handle auf ein vorhandenes, benanntes Section-Objekt (Shared Memory oder Image-Mapping).

Vergrößert eine vorhandene, durch Pagefile oder Datei gestützte Section auf eine höhere Maximalgröße.

Liefert Basis- oder Image-spezifische Metadaten eines Section-Objekts.

Bildet eine View eines Section-Objekts in den virtuellen Adressraum eines Zielprozesses ab.

Erweiterter Section-Mapping-Syscall (ab Windows 10 1809), der MEM_EXTENDED_PARAMETER-Vorgaben akzeptiert.

Hebt das Mapping einer zuvor gemappten Section-View aus dem Adressraum eines Prozesses auf.

Prüft, ob zwei gemappte Views durch dieselbe Datei gestützt werden (Identitätstest des File-Objekts).

Liefert die seit dem letzten Reset beschriebenen Seiten einer MEM_WRITE_WATCH-Region.

Setzt den Schreibverfolgungszustand einer MEM_WRITE_WATCH-Region zurück, ohne Dirty Pages abzurufen.

Erzeugt ein Memory-Partition-Objekt, das den physischen Working-Set einer Prozessgruppe isoliert.

Öffnet ein bestehendes Memory-Partition-Objekt anhand des Namens und liefert ein Handle für Verwaltung oder Prozess-Anbindung.

Fragt eine bestehende Memory-Partition ab oder verändert sie — Speicher hinzufügen, Seiten verschieben, Memory-List-Konfiguration setzen.

Legacy-Syscall zur Thread-Erzeugung mit manuell aufgebauter INITIAL_TEB; abgelöst durch NtCreateThreadEx.

Erzeugt einen neuen Thread in einem Zielprozess, optional suspendiert, mit Unterstützung von Attribute-Listen.

Reiht einen Usermode-APC (Asynchronous Procedure Call) in die Queue eines Zielthreads ein.

Reiht einen User-APC für einen Thread mit optionalem Reserve-Objekt oder Special-User-APC-Flag zur erzwungenen Zustellung ein.

Prüft, ob der aufrufende Thread einen anstehenden Alert hat, und stellt ggf. eingereihte User-Mode-APCs zu.

Stellt einen CPU-CONTEXT im aktuellen Thread wieder her und setzt die Ausführung an CONTEXT.Rip fort.

Weckt einen einzelnen Thread (per TID identifiziert), der in NtWaitForAlertByThreadId parkt — die Kernel-Seite von WakeByAddressSingle.

Parkt den aufrufenden Thread, bis NtAlertThreadByThreadId ihn weckt — die Kernel-Seite von WaitOnAddress.

Reserviert vorab ein Kernel-Reserve-Object (APC oder Completion), damit künftige Operationen unter Speichermangel nicht fehlschlagen.

Legacy-NT-Prozesserzeugung aus einem vorab gebauten Section-Objekt — Vorgänger von NtCreateProcessEx und NtCreateUserProcess.

Erzeugt einen neuen User-Mode-Prozess und dessen initialen Thread aus einem Executable-Image.

Erzeugt einen neuen Prozess aus einem Section-Handle ohne ntdll-Prozessinitialisierung — Baustein des Process Hollowing.

Beendet einen Zielprozess samt aller Threads mit einem angegebenen Exit-Status.

Suspendiert alle Threads eines Zielprozesses, indem der Suspend-Zähler jedes Threads erhöht wird.

Verringert den Suspend-Zähler jedes Threads in einem Zielprozess und setzt diejenigen fort, die null erreichen.

Durchläuft die Prozessliste des Kernels und liefert ein Handle auf den nächsten Prozess.

Prüft, ob ein Prozess innerhalb eines bestimmten (oder irgendeines) Job-Objekts läuft.

Öffnet ein Handle auf einen vorhandenen Thread, identifiziert per CLIENT_ID, mit den gewünschten Zugriffsrechten.

Erhöht den Suspend-Zähler eines Ziel-Threads und hält dessen Ausführung an.

Verringert den Suspend-Count eines Threads; bei Wert null wird die Ausführung fortgesetzt.

Setzt einen suspendierten Thread fort und alarmiert ihn gleichzeitig, sodass anstehende APCs zugestellt werden.

Beendet den angegebenen Thread mit dem übergebenen Exit-Status. NULL-Handle beendet den aktuellen Thread.

Liest den CPU-Registerkontext (CONTEXT-Struktur) eines suspendierten Threads aus.

Setzt den CPU-Registerkontext eines Threads — die Kernel-Primitive hinter Thread-Hijacking und Shellcode-Umleitung.

Liefert ein Handle auf den nächsten Thread eines Zielprozesses durch Durchlaufen der Kernel-Thread-Liste.

Öffnet das einem Prozess zugeordnete Zugriffstoken und gibt ein Handle darauf zurück.

Öffnet das Zugriffstoken eines Prozesses und erlaubt dem Aufrufer, Handle-Attribute wie OBJ_INHERIT anzugeben.

Aktiviert oder deaktiviert Privilegien in einem angegebenen Zugriffstoken.

Aktiviert oder deaktiviert Gruppen (SIDs) in einem Access-Token oder setzt Gruppen-Attribute auf ihren Default-Zustand zurück.

Ruft eine angegebene Informationsklasse zu einem Zugriffstoken ab.

Schreibt eine Token-Eigenschaft — Integritätslevel, Session-ID, Owner, Standard-DACL, Audit-Policy, Linked-Token.

Erzeugt ein neues Zugriffstoken, das ein vorhandenes Token dupliziert und dabei optional Typ und Impersonations-Level ändert.

Erzeugt eine eingeschränkte (gefilterte) Kopie eines bestehenden Access-Tokens durch Deaktivieren von SIDs, Entfernen von Privilegien oder Hinzufügen restricted SIDs.

Weist dem angegebenen Thread das bekannte ANONYMOUS-LOGON-Token zu.

Lässt den Server-Thread den Sicherheitskontext des Client-Threads impersonieren.

Veraltetes LPC: ermöglicht einem Server-Thread, den Sicherheitskontext des Clients zu imitieren, der eine Port-Nachricht sendete.

Entscheidet, ob zwei Tokens denselben Zugriff gewähren — gleicher Benutzer, gleiche Gruppen, gleiche Restricted-SIDs, gleiche Privilegien.

Erzeugt ein Access-Token von Grund auf mit frei wählbarem Benutzer, Gruppen, Privilegien, Owner, Standard-DACL und Quelle — durch SeCreateTokenPrivilege geschützt.

Leitet ein LowBox- (AppContainer-)Token aus einem bestehenden Token ab — setzt die Package-SID und Capability-Liste, die den Broker-IPC-Zugriff steuern.

Setzt eine Server-Silo- / Argon-Container-Impersonation auf den Host-Sicherheitskontext zurück.

Führt eine Access Check gegen einen Security Descriptor mit einem Impersonation-Token durch und liefert die gewährte Zugriffsmaske zurück.

Führt eine Sicherheitszugriffsprüfung gegen einen Security Descriptor durch und respektiert eine typisierte Objekt-Hierarchie (OBJECT_TYPE_LIST).

Führt eine typisierte Zugriffsprüfung mit einer Ergebnisliste pro Objekttyp aus, ohne Audit-Events zu schreiben.

Prüft, ob die in einem PRIVILEGE_SET genannten Privilegien in einem Impersonation-Token aktiviert sind.

Liest das von Code Integrity gecachete Signaturlevel-Ergebnis, das als NTFS-Extended-Attribute auf einer Datei abgelegt ist.

Vergleicht zwei SE_SIGNING_LEVEL-Werte gemäß der Code-Integrity-Policy-Ordnung und liefert, ob der erste den zweiten dominiert.

Führt eine Standard-Zugriffsprüfung aus und schreibt einen Audit-Alarm-Eintrag ins Security-Eventlog.

Führt eine typisierte Zugriffsprüfung aus und schreibt einen Audit-Alarm-Eintrag ins Security-Eventlog.

Typisierte Zugriffsprüfung mit Ergebnisliste pro Typ, die zugleich Audit-Alarm-Einträge ins Security-Eventlog schreibt.

Emittiert einen Security-Eventlog-Eintrag, der die Nutzung eines oder mehrerer Privilegien an einem bestimmten Objekt meldet.

Emittiert einen Security-Eventlog-Eintrag, der eine privilegierte Dienst-Operation meldet (Event 4673).

Emittiert den Security-Eventlog-Eintrag, der zu einem früheren Audit-Alarm-Open passt und das Schließen des Handles markiert.

Emittiert den Security-Eventlog-Eintrag, der die Löschung eines auditierten Objekts protokolliert.

Liest eine Informationsklasse über einen Prozess aus — universelles Back-End von GetProcessInformation und Arbeitspferd vieler Anti-Debug-Checks.

Verändert eine Klasse von Prozesszustand — Anti-Debug-Selbstbereinigung, CET-Range-Registrierung, ACG/CIG-Policy-Installation, Instrumentation-Callbacks.

Liest eine Thread-Eigenschaft über die THREADINFOCLASS-Enumeration — TEB-Pointer, Hide-from-Debugger-Flag, Zeiten, Exit-Status.

Setzt eine Thread-Eigenschaft über die THREADINFOCLASS-Enumeration — bekannt durch ThreadHideFromDebugger.

Liest eine systemweite Informationsklasse aus — Prozessliste, Kernel-Handle-Tabelle, geladene Treiberliste, Code-Integritäts-Status und mehr.

Generischer Kernel-Setter, ausgewählt über SYSTEM_INFORMATION_CLASS — Zugang zu SystemDebugControl, GDI-Treiberladen und mehr.

Löst einen „Hard Error“ aus, den der Kernel an CSRSS zur UI-Anzeige weiterreicht — oder mit SeShutdownPrivilege und FATAL-Severity einen sofortigen Bugcheck (BSOD) auslöst.

Fragt Dateiinformationen per Pfad ohne offenes Handle ab, eingeführt in Windows 10 RS5.

Erzeugt ein Kernel-Mode-Sampling-Profiler-Objekt, das den Program Counter in ein Histogramm einsortiert.

Liefert den aktuellen Wert des hochauflösenden Performance-Counters und optional dessen Frequenz.

Liefert den nullbasierten Index des logischen Prozessors, auf dem der aufrufende Thread gerade läuft.

Schreibt ein User-Mode-Event über ein registriertes Trace-Handle in eine ETW-Sitzung.

Gemultiplextes Kontroll-IOCTL für das ETW-Subsystem — Sitzungen starten, stoppen, abfragen, flushen und Provider aktivieren/deaktivieren.

Erzeugt ein Kernel-DebugObject — den Debugger-spezifischen Port für Debug-Events der angehängten Prozesse.

Hängt ein vorhandenes DebugObject an einen laufenden Prozess an — die Kernel-Seite von DebugActiveProcess.

Löst ein DebugObject von einem Prozess — die Kernel-Seite von DebugActiveProcessStop.

Wartet auf das nächste Debug-Event eines Debug-Objects und liefert einen DBGUI_WAIT_STATE_CHANGE zurück.

Setzt einen Debuggee-Thread nach einem Debug-Event mit gegebenem NTSTATUS-Continue-Code fort.

Erzeugt ein benanntes oder unbenanntes Event-Synchronisationsobjekt und liefert ein Handle.

Öffnet ein Handle auf ein bestehendes benanntes Event-Objekt.

Setzt ein Event-Objekt in den signalisierten Zustand und gibt wartende Threads frei.

Setzt ein Event-Objekt auf nicht-signalisiert zurück und liefert den vorherigen Signalzustand.

Signalisiert ein Event, gibt wartende Threads frei und setzt es sofort wieder auf nicht-signalisiert.

Setzt ein Event-Objekt auf nicht-signalisiert, ohne den vorherigen Zustand zurückzugeben.

Wartet, bis ein Dispatcher-Objekt signalisiert wird oder das optionale Timeout abläuft.

Wartet auf bis zu MAXIMUM_WAIT_OBJECTS Dispatcher-Objekte mit WaitAny- oder WaitAll-Semantik.

Signalisiert atomar ein Dispatcher-Objekt und wartet auf ein anderes in einem einzigen, race-freien Übergang.

Erzeugt ein Keyed-Event-Objekt — leichtgewichtige Kernel-Sync-Primitive, die Waits und Wakes per Virtual-Address-Key paart.

Blockiert den aufrufenden Thread auf einem Keyed Event, bis ein anderer Thread dasselbe (Event, Key)-Paar freigibt.

Weckt genau einen auf dasselbe (Keyed-Event, Key)-Paar wartenden Thread; blockiert, falls noch kein Waiter vorhanden ist.

Erzeugt oder öffnet ein benanntes oder unbenanntes Mutant-(Mutex-)Objekt und übernimmt optional die initiale Eigentümerschaft.

Erzeugt ein Kernel-Timer-Objekt, das später mit NtSetTimer scharfgeschaltet werden kann.

Bewaffnet ein Timer-Objekt mit Due-Time, optionaler Periode und optionaler beim Ablauf feuernder APC-Routine.

Bricht eine ausstehende NtSetTimer-Bewaffnung ab und meldet, ob der Timer zum Abbruchzeitpunkt noch aktiv war.

Erzeugt ein modernes Hochauflösungs-Timer-Objekt mit Unterstützung für Manual-Reset und No-Wake in einem Aufruf.

Bewaffnet ein Timer2-Objekt mit Fälligkeitszeit, optionaler Periode und einem T2_SET_PARAMETERS-Block mit Callback und Flags.

Bricht ein zuvor bewaffnetes Timer2-Objekt ab und meldet, ob es noch ausstand.

Suspendiert den aufrufenden Thread für ein angegebenes Intervall, optional im Alertable-Zustand.

Liefert die aktuelle Systemzeit als 64-Bit-Zähler in 100-ns-Intervallen seit 1601-01-01 UTC.

Erzeugt das Server-Ende einer Named-Pipe im Geräte-Namespace \Device\NamedPipe.

Erstellt die Server-Seite eines Mailslots — einer altertümlichen, einseitigen, datagramm-artigen IPC-Primitive, erreichbar über \Device\Mailslot.

Erzeugt einen serverseitigen ALPC-Connection-Port, den Clients per NtAlpcConnectPort erreichen können.

Stellt eine Client-ALPC-Verbindung zu einem benannten Server-Port her und tauscht eine initiale Nachricht aus.

Server-seitige ALPC-Accept-Routine — schließt eine ausstehende Client-Verbindung ab und liefert einen Per-Client-Kommunikationsport.

Sendet eine ALPC-Nachricht auf einem Port und wartet optional auf eine Antwort oder die nächste eingehende Nachricht.

Fragt Metadaten eines ALPC-Ports ab — Besitzer-Prozess, Message-Statistiken, Server-SID, Port-Attribute.

Primäre Impersonation-Primitive eines ALPC-Servers — übernimmt den Sicherheitskontext des Clients, der eine Nachricht gesendet hat.

Server-seitiger Helper, der ein HANDLE auf den Prozess öffnet, der eine bestimmte ALPC-Nachricht gesendet hat.

Server-seitiger Helper, der ein HANDLE auf den Thread öffnet, der eine bestimmte ALPC-Nachricht gesendet hat.

Schließt die Client-Seite einer ALPC-Verbindung sauber und signalisiert den Server, bevor das Handle freigegeben wird.

Gibt einen ALPC-SECURITY_QOS-Kontext frei, der zuvor mit NtAlpcCreateSecurityContext erzeugt wurde.

Invalidiert einen gecachten ALPC-SECURITY_QOS-Kontext, ohne dessen Handle-Slot freizugeben.

Erzeugt ein benanntes Server-LPC-Port-Objekt — die Legacy-IPC-Listener-Primitive vor ALPC.

Client-seitige Verbindung zu einem Legacy-LPC-Server-Port, das Pre-ALPC-Pendant zu NtAlpcConnectPort.

Server-seitige Annahme einer Legacy-LPC-Verbindungsanfrage mit optionalem Shared-View-Mapping.

Sendet eine Fire-and-Forget-LPC-Message auf einem verbundenen Port — ohne Antwort zu erwarten.

Sendet eine synchrone LPC-Anfrage und blockiert bis zur Server-Antwort — die Legacy-RPC-Primitive.

Sendet eine Antwort auf einen Server-LPC-Port zu einer empfangenen Anfrage, ohne zu warten.

Server-LPC-Primitive: beantwortet atomar die vorherige Anfrage und blockiert auf die nächste.

Erzeugt ein Job Object — den Kernel-Container für Limits, Accounting und Beendigungs-Policy einer Menge von Prozessen.

Hängt einen Prozess an ein Job Object, sodass dessen Limits, Accounting und Beendigungs-Policy für ihn gelten.

Setzt eine Policy oder ein Limit auf einem Job Object über eine der JOBOBJECTINFOCLASS-Informationsklassen.

Liefert Accounting-, Limit- oder UI-Restriktions-Informationen eines Job-Objekts.

Beendet atomar jeden Prozess, der einem Job-Objekt aktuell zugewiesen ist.

Erzeugt einen I/O-Completion-Port — die Kernel-Queue, die Threadpool-Arbeitsauslieferung, asynchrone I/O-Benachrichtigung und (bei PoolParty) injizierte Work-Items trägt.

Sendet ein Completion-Paket an einen I/O-Completion-Port — die Kernel-Seite von PostQueuedCompletionStatus und der Lieferpfad für PoolPartys gefälschte Work-Items.

Dequeue't ein einzelnes Completion-Paket aus einem I/O-Completion-Port und blockiert, bis eines verfügbar ist oder das Timeout abläuft.

Holt in einem einzigen Syscall bis zu einer vom Aufrufer angegebenen Anzahl von Completion-Paketen aus einem I/O-Completion-Port.

Bricht jede ausstehende I/O-Anforderung ab, die der aufrufende Thread auf einem Datei-Handle gestellt hat.

Bricht eine bestimmte ausstehende I/O-Anforderung an einer Datei ab, unabhängig vom ausstellenden Thread.

Bricht einen synchronen I/O-Aufruf ab, der gerade einen anderen Thread blockiert.

Bricht ein zuvor zugeordnetes Wait-Completion-Packet ab und löst die Dispatcher-Object-Bindung.

Bindet ein Wait-Completion-Packet an ein Dispatcher-Object, sodass dessen Signal einen Eintrag in einen IOCP postet.

Erzeugt ein Kernel-Worker-Factory-Objekt — die Threadpool-Primitive, die PoolParty-Injection missbraucht, um Shellcode ohne NtCreateThreadEx auszuführen.

Weist eine Worker Factory an, keine neuen Threads mehr zu erzeugen, und meldet, wie viele Worker noch ausstehen.

Setzt eine Konfigurationsklasse einer Worker Factory — darunter, in einigen PoolParty-Varianten, die StartRoutine, die Worker-Threads ausführen.

Fragt Konfiguration und Laufzeitzustand einer Worker Factory ab, einschließlich aktueller StartRoutine und Worker-Zahlen.

Signalisiert dem Kernel, dass ein Threadpool-Worker arbeitsbereit ist — Teil des internen ntdll!TppWorkerThread-Handshakes.

Fordert den Kernel auf, mindestens einen Worker in der Factory verfügbar zu machen — vom User-Mode-Threadpool benutzt, um den Pool beim Einreichen von Arbeit zu wecken.

Blockiert einen Threadpool-Worker, bis ein Work-Item in der Completion-Queue der Factory bereit ist — die Hot-Loop, die PoolParty hijackt.

Erzeugt ein neues KTM-Transaktionsobjekt (Kernel Transaction Manager), das NTFS-Operationen atomar zusammenfasst.

Öffnet ein vorhandenes KTM-Transaktionsobjekt anhand des Namens oder der Unit-of-Work-GUID.

Committet eine KTM-Transaktion und schreibt sämtliche darin vorgenommenen Änderungen atomar auf die Platte.

Rollt eine KTM-Transaktion zurück und verwirft sämtliche darin vorgenommenen Änderungen.

Allokiert eine neue Enklave (SGX oder VBS/VTL1) im Adressraum eines Zielprozesses.

Schließt eine Enklave nach Image-Load ab — prüft Signaturen und überführt sie in den ausführbaren Zustand.

Überführt die Ausführung vom VTL0-Host-Code in eine Routine innerhalb einer initialisierten Enklave.

Räumt eine Enklave ab, gibt deren VTL1-Speicher frei und signalisiert noch in der Enklave befindliche Threads.

Kopiert einen seitenaligned Puffer (Code oder Daten) vom VTL0-Host in den VTL1-Bereich einer Enklave vor der Initialisierung.

Erstellt oder öffnet einen Registrierungsschlüssel — die Kernel-Primitive hinter jeder Registry-basierten Persistenz.

Öffnet einen bestehenden Registrierungsschlüssel — Kernel-Einstieg hinter RegOpenKeyEx, genutzt für SAM-, SECURITY- und Persistenz-Hives.

Erweiterte Variante von NtOpenKey mit OpenOptions — erforderlich für Symlink-Folgen und Backup-Semantik-Öffnung.

Löscht einen Registrierungsschlüssel beim Schließen des Handles — wird verwendet, um Persistenz und Audit-Key-Artefakte nach Ausführung zu beseitigen.

Entfernt einen einzelnen benannten Wert aus einem geöffneten Registry-Schlüssel, ohne den Schlüssel selbst zu löschen.

Schreibt einen benannten Wert in einen offenen Registrierungsschlüssel — Arbeitspferd für Run- und IFEO-Persistenz.

Liest einen Wert aus einem Registrierungsschlüssel — die zielgerichtete Credential- und Config-Sammel-Primitive.

Liest atomar mehrere Registry-Werte eines Schlüssels in einem einzigen Syscall.

Enumeriert Subkeys eines Registrierungsschlüssels — durchläuft AutoRun, IFEO und Services zur Persistenz-Entdeckung.

Liefert Metadaten zu einem geöffneten Registry-Schlüssel — Name, Klasse, Anzahl Unterschlüssel/Werte, letzte Änderung.

Benennt einen bestehenden Registry-Schlüssel an Ort und Stelle um — kein Win32-Wrapper, nur über die NT-API erreichbar.

Mountet eine Registry-Hive-Datei unter einem Zielschlüssel — der Syscall hinter dem Offline-Laden von SAM/SYSTEM.

Lädt einen Registry-Hive in den Konfigurationsbaum über einen 2-Flag-Wrapper um NtLoadKey.

Moderner Hive-Load-Syscall — Basis für RegLoadKeyW, RegLoadAppKeyW und die AppContainer-Registry-Virtualisierung.

Hängt einen zuvor geladenen Registry-Hive vom Konfigurationsmanager ab.

Überschreibt den Inhalt eines Registry-Schlüssels aus einer Hive-Datei — ersetzt Teilbäume en bloc.

Schreibt einen lebenden Registry-Schlüssel (mitsamt Teilbaum) in eine Hive-Datei — die Kernel-Seite des SAM/SECURITY-Diebstahls.

Erzwingt das Schreiben aller anstehenden Änderungen eines Registry-Schlüssels in seine Hive-Datei.

Erzwingt das Defragmentieren / Kompaktieren der Backing-Datei eines geladenen Registry-Hives.

Registriert eine asynchrone Benachrichtigung für Änderungen an einem Registry-Schlüssel und (optional) seinem Teilbaum.

Registriert eine einzelne Benachrichtigungsanforderung, die bei Änderung einer von mehreren Registry-Schlüsseln auslöst.

Blockiert temporär systemweit alle Registry-Schreiboperationen; von VSS für konsistente Snapshots genutzt.

Hebt ein vorheriges Registry-Freeze auf, sodass Schreibvorgänge fortgesetzt werden; Gegenstück zu NtFreezeRegistry.

Schließt ein Kernel-Objekt-Handle (Datei, Schlüssel, Event, Prozess, Thread, Section usw.).

Erstellt oder öffnet eine Datei, ein Verzeichnis, ein Gerät oder eine benannte Pipe — der erste Disk-Aufruf jedes Droppers.

Öffnet ein Handle auf eine vorhandene Datei oder ein Gerät — das leichte No-Create-Pendant zu NtCreateFile.

Liest Bytes aus einer Datei, einem Gerät, einer benannten Pipe oder einer gemappten Section in einen User-Puffer — Kernel-Primitive hinter ReadFile.

Schreibt Daten in eine offene Datei, Pipe oder ein Gerät — Kernel-Pendant zu NtCreateFile fürs Ablegen von Payloads.

Löscht eine Datei per Pfad ohne vorheriges Handle-Öffnen — eine seltene Anti-Forensik-Primitive.

Setzt Dateimetadaten über FILE_INFORMATION_CLASS — Umbenennen, Löschen, Allokieren, EOF usw.

Liest Metadaten einer geöffneten Datei — Timestamps, Größe, EAs, Streams, Reparse-Points u. a.

Enumeriert ein Verzeichnis auf IRP-Ebene — von Rootkits genutzt, um Dateien durch Manipulation der Rückgabeliste zu verbergen.

Sendet ein IOCTL an einen Kernel-Treiber — User-Mode-Einstieg für jeden BYOVD-Primitive-Missbrauch.

Sendet FSCTL-Codes an ein Dateisystem — eingesetzt für Reparse Points, ADS-Zugriff und Junction-Missbrauch.

Erwirbt einen Byte-Range-Lock auf einer geöffneten Datei, optional exklusiv und optional asynchron.

Gibt einen zuvor erworbenen Byte-Range-Lock auf einer geöffneten Datei frei.

Registriert eine asynchrone Benachrichtigungsanforderung für Dateisystemänderungen in einem geöffneten Verzeichnis-Handle.

Erweiterte Verzeichnis-Änderungsbenachrichtigung, bei der der Aufrufer die im Puffer zurückgegebene FILE_NOTIFY_INFORMATION-Klasse wählen kann.

Liefert Dateisystem- und Volume-Eigenschaften (Label, Größe, Gerätetyp, Attribute) für das Volume hinter einem Datei-Handle.

Verändert beschreibbare Volume-Eigenschaften — vorrangig das Volume-Label — für das Volume hinter einem Datei-Handle.

Schreibt NTFS Extended Attributes (EAs), die an ein Datei-Handle gebunden sind.

Liest NTFS Extended Attributes (EAs) von einem Datei-Handle, optional gefiltert oder seitenweise.

Dupliziert ein Handle aus einem Quellprozess in einen Zielprozess, optional mit Anpassung der Zugriffsrechte oder Schließung der Quelle.

Liefert Metadaten zu einem Kernel-Objekt-Handle: Basisinfo, Name, Typ oder systemweite Typtabelle.

Setzt Handle-Attribute (Vererbung, Schutz vor Schließung) auf einem Kernel-Objekt-Handle.

Liefert STATUS_SUCCESS, wenn zwei Handles auf dasselbe zugrundeliegende Kernel-Objekt verweisen.

Setzt das Attribut OBJ_PERMANENT auf ein benanntes Kernel-Objekt, sodass es das Schließen des letzten Handles überdauert.

Löscht das Attribut OBJ_PERMANENT, sodass das Kernel-Objekt freigegeben wird, sobald das letzte Handle schließt.

Erzeugt ein neues Directory-Objekt im Namensraum des Windows Object Managers.

Öffnet ein vorhandenes Directory-Objekt im Namensraum des Windows Object Managers.

Enumeriert die Einträge (Name + Typ) innerhalb eines Object-Manager-Verzeichnisses.

Erzeugt einen Object-Manager-Symlink von einem Namen zu einem beliebigen NT-Zielstring.

Öffnet einen bestehenden Object-Manager-Symlink über seinen Namen und liefert ein Handle für spätere Abfrage oder Löschung.

Fügt eine Zeichenkette in die globale Kernel-Atomtabelle ein (oder erhöht den Refcount) und liefert deren 16-Bit-Atom-ID.

Sucht ein vorhandenes globales Atom über seinen Namen und liefert dessen 16-Bit-ID, ohne den Refcount zu erhöhen.

Dekrementiert den Referenzzähler eines globalen Atoms und entfernt es bei Erreichen von Null.

Liefert Metadaten zu einem einzelnen Atom oder zur gesamten globalen Atom-Tabelle — Name, Refcount, Pin-Count, Nutzungszähler.

Liest einen self-relativen SECURITY_DESCRIPTOR aus einem beliebigen Kernel-Objekt, das über ein Handle erreichbar ist.

Schreibt einen neuen SECURITY_DESCRIPTOR (Owner / DACL / SACL / Label) auf ein Kernel-Objekt anhand des Handles.

Schreibt ein von Code Integrity gecachetes Signaturlevel-Ergebnis in ein NTFS-Extended-Attribute der Zieldatei.

Registriert einen neuen BOOT_ENTRY in der Boot-Konfigurationsdatenbank (BCD) und liefert die zugewiesene ID zurück.

Ersetzt einen vorhandenen BOOT_ENTRY in der BCD durch einen neuen Deskriptor, identifiziert über seine ID.

Entfernt einen BOOT_ENTRY anhand der ID aus der BCD und löscht auf UEFI die zugehörige Firmware-Variable.

Liefert ein gepacktes Array von BOOT_ENTRY-Strukturen, das jede registrierte Firmware-Bootoption beschreibt.

Liest die geordnete Liste der BOOT_ENTRY-IDs aus der Firmware — die Sequenz, die die Plattform beim nächsten Einschalten versucht.

Schreibt die Boot-Reihenfolge der Firmware — das Array der BOOT_ENTRY-IDs, das die Plattform der Reihe nach versucht.

Liest den BCD-Boot-Optionen-Blob des Systems — Debug-Flags, OS-Load-Options, Hypervisor-Einstellungen, Test-Signing.

Registriert einen neuen EFI_DRIVER_ENTRY in der Firmware, damit die UEFI-Umgebung einen Treiber vor dem Betriebssystem lädt.

Überschreibt einen vorhandenen EFI_DRIVER_ENTRY anhand seiner ID und schreibt die UEFI-Driver####-NVRAM-Variable an Ort und Stelle neu.

Entfernt einen registrierten EFI_DRIVER_ENTRY anhand der ID und löscht die zugehörige UEFI-Driver####-NVRAM-Variable.

Liefert eine gepackte Liste aller registrierten EFI_DRIVER_ENTRYs — die UEFI-Driver####-Variablen, die vor dem Boot-Manager dispatcht werden.

Liest die UEFI-DriverOrder-Liste der Plattform — die Reihenfolge, in der UEFI-Driver####-Einträge beim Boot laden.

Schreibt die UEFI-DriverOrder-Liste der Plattform neu und steuert, welche UEFI-Treiber beim Boot zuerst laden.

Liest eine veraltete x86-BIOS/NV-RAM-Systemumgebungsvariable per Name (Pre-UEFI-Schnittstelle).

Schreibt eine veraltete x86-BIOS/NV-RAM-Systemumgebungsvariable (Pre-UEFI-Schnittstelle).

Liest eine UEFI-Variable, identifiziert durch (Name, Hersteller-GUID), und liefert Daten plus Attribute zurück.

Schreibt oder löscht eine UEFI-Variable, identifiziert durch (Name, Hersteller-GUID) — die kanonische Firmware-Persistenz-Oberfläche.

Löst die Serialisierung des Boot-Trace-Puffers aus — schließt die beim Systemstart erfassten Performance-Daten ab.

Lädt einen Kernel-Mode-Treiber aus einem registry-beschriebenen Service-Eintrag — der BYOVD-Einstieg.

Entlädt einen zuvor geladenen Kernel-Mode-Treiber — die BYOVD-Aufräumprimitive.

Leitet Kerneldebugger-artige Anfragen weiter (Kernel-R/W, Control Space, Breakpoints, Profiler), ausgewählt über die SysDbgCommand-Enum.

Versetzt das System in den angeforderten Energiezustand (Schlaf, Ruhezustand, Betrieb).

Fordert den Power Manager auf, eine systemweite Energieaktion auszuführen (Schlaf, Ruhezustand, Shutdown, Reboot).

Kernel-Mode-Shutdown-Trigger — schaltet das System in einem Syscall aus, startet es neu oder fährt es herunter.

Erzeugt oder erweitert eine Windows-Pagefile am angeforderten NT-Pfad; erfordert SeCreatePagefilePrivilege.

Steuerungs-Einstiegspunkt der NT Virtual DOS Machine — 16-Bit-DOS/Windows-Unterstützung, auf x64 außer Betrieb.