NtAccessCheckByTypeResultList

Prototyp

NTSTATUS NtAccessCheckByTypeResultList(
  PSECURITY_DESCRIPTOR  SecurityDescriptor,
  PSID                  PrincipalSelfSid,
  HANDLE                ClientToken,
  ACCESS_MASK           DesiredAccess,
  POBJECT_TYPE_LIST     ObjectTypeList,
  ULONG                 ObjectTypeListLength,
  PGENERIC_MAPPING      GenericMapping,
  PPRIVILEGE_SET        PrivilegeSet,
  PULONG                PrivilegeSetLength,
  PACCESS_MASK          GrantedAccessList,
  PNTSTATUS             AccessStatusList
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 64 00 00 00      mov eax, 0x64
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Wie NtAccessCheckByType, liefert aber einen *Vektor* von Zugriffsentscheidungen — ein Eintrag pro ObjectTypeList-Element — statt eines einzelnen zusammengesetzten Urteils. Der kanonische Anwendungsfall ist Active Directory: ein einziger Versuch, ein Benutzerobjekt zu lesen, kann gleichzeitig die Bewertung des Objekts selbst plus mehrerer Property-Set-ACEs (z. B. Personal-Information, Public-Information, Account-Restrictions) erfordern. Die Ergebnisliste erlaubt dem Aufrufer, exakt zu melden, welches Property Set verweigert wurde. Die SSN `0x64` ist über alle unterstützten Windows-Builds seit 1507 stabil. Keine Audit-Emissions-Seiteneffekte — bei SACL-erzwungenem Logging mit NtAccessCheckByTypeResultListAndAuditAlarm kombinieren.

Häufige Malware-Nutzung

Praktisch null. Die Funktion wird von LSASS, NTDS und SAM/AD-bewussten Komponenten genutzt; Commodity-Malware hat keinen Grund für strukturierte AD-artige ACL-Prüfungen. Der Malware-Winkel ist umgekehrt: Angreifer fragen AD-ACLs ab (BloodHound, PowerView), um Operationen zu *vermeiden*, die anderswo Audit-Alarm-Prüfungen auslösen würden.

Erkennungs­möglichkeiten

Auf einem Domain Controller wird die Aufrufrate von ntdsa.dll innerhalb von lsass.exe dominiert. Anomale Aufrufer (alles außerhalb von {lsass.exe, services.exe, einem MS-signierten AD-Dienst}) sind über ETW Microsoft-Windows-Kernel-Audit-API-Calls markierungswürdig. Auf einer Workstation ist der Aufruf außerhalb LSASS-seitiger Credential-Validierungs-Pfade selten; ungewöhnliche Images, die ihn aufrufen, rechtfertigen Untersuchung.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAccessCheckByTypeResultList (SSN 0x64, Win10 1507+)
NtAccessCheckByTypeResultList PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 64h          ; SSN
    syscall
    ret
NtAccessCheckByTypeResultList ENDP

// Evaluate read access against an AD user object plus two property sets.
OBJECT_TYPE_LIST otl[3] = {
    { ACCESS_OBJECT_GUID, 0, &GUID_USER_OBJECT },             // level 0
    { ACCESS_PROPERTY_SET_GUID, 0, &GUID_PERSONAL_INFO },    // level 1
    { ACCESS_PROPERTY_SET_GUID, 0, &GUID_PUBLIC_INFO },      // level 1
};
ACCESS_MASK granted[3] = {0};
NTSTATUS    statuses[3] = {0};
PRIVILEGE_SET privs;
ULONG       privs_len = sizeof privs;

NTSTATUS rc = NtAccessCheckByTypeResultList(
    pSd, NULL, hClientToken,
    READ_CONTROL | ADS_RIGHT_DS_READ_PROP,
    otl, ARRAYSIZE(otl),
    &g_DsGenericMapping,
    &privs, &privs_len,
    granted, statuses);

// Inspect statuses[0..2] to report which property set was denied.

MITRE ATT&CK-Mappings

• T1106Native APImitre ↗