NtAccessCheck

Prototyp

NTSTATUS NtAccessCheck(
  PSECURITY_DESCRIPTOR SecurityDescriptor,
  HANDLE               ClientToken,
  ACCESS_MASK          DesiredAccess,
  PGENERIC_MAPPING     GenericMapping,
  PPRIVILEGE_SET       PrivilegeSet,
  PULONG               PrivilegeSetLength,
  PACCESS_MASK         GrantedAccess,
  PNTSTATUS            AccessStatus
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 00 00 00 00      mov eax, 0x00
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtAccessCheck belegt buchstäblich den ersten Slot der SSDT — SSN `0x0` auf jeder Windows-Build seit NT 4 — was sie zu einer netten Kuriosität macht, aber als Offensiv-Primitive nutzlos. Sie ist der User-Mode-Einstiegspunkt für *manuelle* Access-Check-Logik: ein Dienst, der gerade einen Client imitiert, nutzt NtAccessCheck (üblicherweise über den Win32-AccessCheck-Wrapper), um zu entscheiden, ob der Client eine Operation auf einer vom Dienst kontrollierten Ressource ausführen *dürfte*. Sie öffnet selbst nichts — sie ist eine reine Auswertungsfunktion über SECURITY_DESCRIPTOR + Token + GENERIC_MAPPING.

Häufige Malware-Nutzung

Wird fast nie direkt offensiv eingesetzt. Die zwei Muster, die vorkommen: (1) Post-Exploitation-Tools, die enumerieren, welche DACL-geschützten Objekte ein gestohlenes Impersonation-Token erreichen kann, ohne sie tatsächlich zu öffnen (lautlose Aufklärung — kein Audit feuert, sofern nicht SACLs konfiguriert sind); (2) Exploit-Code, der prüft, ob ein gefälschtes oder wiedereingespieltes Token den gewünschten Zugriff gewährt. Ehrliche Einschätzung: NtAccessCheck wird von legitimer Nutzung dominiert und ist ein schwaches Malware-Signal.

Erkennungs­möglichkeiten

Kaum nutzbare Telemetrie vorhanden. NtAccessCheck löst selbst kein Object-Access-Auditing aus (Event ID 4663) — nur ein nachfolgendes Open tut das. Privilege-Use-Events in ETW Microsoft-Windows-Security-Auditing können feuern, falls die Auswertung ein Objekt mit SACL berührt, doch die Abdeckung ist dünn. Brauchbar als *Korrelations*-Signal: ein ungewöhnlicher Prozess, der viele NtAccessCheck-Aufrufe über verschiedene Security Descriptors hintereinander absetzt und anschließend selektiv nur die erfolgreichen mit NtOpen* öffnet, ist ein klassisches lautloses Aufklärungsmuster.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAccessCheck (SSN 0x00 on every Windows build)
NtAccessCheck PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 0            ; SSN
    syscall
    ret
NtAccessCheck ENDP

// After ImpersonateNamedPipeClient / RpcImpersonateClient, the service evaluates
// whether the caller would be allowed FILE_WRITE_DATA on a private resource.
HANDLE hClientToken = NULL;
NtOpenThreadToken(NtCurrentThread(), TOKEN_QUERY, FALSE, &hClientToken);

GENERIC_MAPPING fileMapping = {
    .GenericRead    = FILE_GENERIC_READ,
    .GenericWrite   = FILE_GENERIC_WRITE,
    .GenericExecute = FILE_GENERIC_EXECUTE,
    .GenericAll     = FILE_ALL_ACCESS,
};

BYTE privBuf[256];
ULONG privLen = sizeof(privBuf);
ACCESS_MASK granted = 0;
NTSTATUS accessStatus = 0;

NtAccessCheck(pResourceSD,
              hClientToken,
              FILE_WRITE_DATA,
              &fileMapping,
              (PPRIVILEGE_SET)privBuf,
              &privLen,
              &granted,
              &accessStatus);

if (NT_SUCCESS(accessStatus) && (granted & FILE_WRITE_DATA)) {
    // proceed under impersonation
}

// Cargo: windows-sys = "0.59"  (Win32_Security)
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_access_check_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x00",
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗
• T1087Account Discoverymitre ↗