NtAlpcSendWaitReceivePort

Prototyp

NTSTATUS NtAlpcSendWaitReceivePort(
  HANDLE                   PortHandle,
  ULONG                    Flags,
  PPORT_MESSAGE            SendMessage,
  PALPC_MESSAGE_ATTRIBUTES SendMessageAttributes,
  PPORT_MESSAGE            ReceiveMessage,
  PSIZE_T                  BufferLength,
  PALPC_MESSAGE_ATTRIBUTES ReceiveMessageAttributes,
  PLARGE_INTEGER           Timeout
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 8E 00 00 00      mov eax, 0x8E
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`NtAlpcSendWaitReceivePort` ist das Arbeitstier von ALPC: jeder RPC-Aufruf über `ncalrpc` mündet in einen oder mehrere Aufrufe dieses Syscalls. Er implementiert vier High-Level-Patterns — nur senden, nur empfangen, Request/Reply (synchron), Reply/Wait-Next (Server-Loop) — gewählt über Flags und welche von SendMessage/ReceiveMessage non-NULL sind. Auf den `PORT_MESSAGE`-Header folgt ein optionaler `ALPC_MESSAGE_ATTRIBUTES`-Block, der duplizierte Handles, einen Security-Context-Blob oder eine Shared-Section-View tragen kann — genau diese Attribute machen ALPC zu einem so lukrativen LPE-Ziel.

Häufige Malware-Nutzung

Zwei klar getrennte Missbrauchsmuster: 1. **LPE-Exploitation**: jede ALPC-LPE-Kette endet in einem gefälschten `SendMessage`, der einen verwundbaren Code-Pfad auf Server-Seite triggert. CVE-2018-8440 schickte ein gefälschtes `ALPC_MESSAGE_ATTRIBUTE_HANDLE` an den Task-Scheduler-ALPC-Port; CVE-2019-1322 (SVCMOVER) missbrauchte services.exe über ALPC; mehrere PrintNightmare-PoCs erreichen den Print-Spooler-ALPC-Endpoint über diesen Syscall. 2. **Verdeckter IPC-C2**: Red-Team-Frameworks bauen gelegentlich Implant↔Implant-Kanäle auf einem unbenannten ALPC-Port (mit `NtAlpcCreatePort` erzeugt, per `NtAlpcConnectPort` verbunden), weil ALPC für Sysmon-Netzwerk-Telemetrie unsichtbar ist. Geringer Durchsatz, aber für Command-and-Control genug.

Erkennungs­möglichkeiten

Detektion pro Aufruf unpraktikabel — der Syscall feuert millionenfach pro Stunde auf einem aktiven Host. Hilfreiche Blickwinkel: ETW `Microsoft-Windows-Kernel-ALPC` (sofern aktiv) ordnet Nachrichten Port-Namen und PIDs zu; große `ALPC_MESSAGE_ATTRIBUTE_HANDLE`-Payloads aus nicht-privilegierten Prozessen an System-Dienste sind verdächtig; Korrelation mit dem ETW `Microsoft-Windows-RPC` (das *über* ALPC liegt) liefert die invokierte RPC-Interface-UUID — ein unerwartetes UUID aus einem Nicht-Microsoft-Binary ist das stärkste Signal. Die historischen ALPC-LPE-Bugs wurden allesamt post-disclosure durch Suche nach Handle-Attributen, die aus User-Context-Sendern auf SYSTEM-Objekte zeigten, gefunden.

Direkte Syscall-Beispiele

; Direct syscall stub for NtAlpcSendWaitReceivePort (SSN 0x8E on Win11 24H2)
NtAlpcSendWaitReceivePort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 8Eh          ; SSN — version-sensitive
    syscall
    ret
NtAlpcSendWaitReceivePort ENDP

// Minimal ALPC server pump — receive, dispatch, reply.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtAlpcSendWaitReceivePort)(
    HANDLE, ULONG, PVOID, PVOID, PVOID, PSIZE_T, PVOID, PLARGE_INTEGER);

void ServerPump(HANDLE hPort) {
    pNtAlpcSendWaitReceivePort fn = (pNtAlpcSendWaitReceivePort)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtAlpcSendWaitReceivePort");
    BYTE recv[0x1000]; SIZE_T cb;
    BYTE reply[0x1000];
    for (;;) {
        cb = sizeof(recv);
        // Pure receive: SendMessage = NULL.
        if (fn(hPort, 0, NULL, NULL, recv, &cb, NULL, NULL) != 0) break;
        // ... build reply in 'reply' ...
        // Send reply, wait for next request: ALPC_MSGFLG_RELEASE_MESSAGE = 0x10000.
        cb = sizeof(recv);
        fn(hPort, 0x10000, reply, NULL, recv, &cb, NULL, NULL);
    }
}

// Synchronous request/reply on an already-connected ALPC port.
#include <windows.h>
#include <winternl.h>
#define ALPC_MSGFLG_SYNC_REQUEST 0x20000

typedef NTSTATUS (NTAPI *pNtAlpcSendWaitReceivePort)(
    HANDLE, ULONG, PVOID, PVOID, PVOID, PSIZE_T, PVOID, PLARGE_INTEGER);

NTSTATUS Call(HANDLE hPort, PVOID req, SIZE_T reqLen, PVOID rsp, PSIZE_T rspLen) {
    pNtAlpcSendWaitReceivePort fn = (pNtAlpcSendWaitReceivePort)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtAlpcSendWaitReceivePort");
    LARGE_INTEGER to; to.QuadPart = -5LL * 10000000LL; // 5 s
    return fn(hPort, ALPC_MSGFLG_SYNC_REQUEST, req, NULL, rsp, rspLen, NULL, &to);
}

MITRE ATT&CK-Mappings

• T1068Exploitation for Privilege Escalationmitre ↗
• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗