NtImpersonateClientOfPort

Prototyp

NTSTATUS NtImpersonateClientOfPort(
  HANDLE        PortHandle,
  PPORT_MESSAGE Message
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 1F 00 00 00      mov eax, 0x1F
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Pre-ALPC-Pendant zu NtAlpcImpersonateClientOfPort. Moderne Windows-Komponenten sind auf ALPC umgestiegen, doch einige Legacy-Ports verbleiben in ntoskrnl und in wenigen Usermode-Diensten aus Kompatibilitätsgründen. Der SSN ist von Windows 10 1507 bis 11 24H2 auf `0x1F` festgenagelt — ein deutliches Indiz dafür, dass sich der Aufruf im Wartungsmodus und nicht in aktiver Entwicklung befindet. Liefert STATUS_ACCESS_DENIED, es sei denn (a) der Client hat zuvor Impersonation via DynamicTracking + ausreichendem SecurityQualityOfService gewährt oder (b) der Server hält SeImpersonatePrivilege.

Häufige Malware-Nutzung

Dieselbe grundlegende Bug-Klasse wie NtAlpcImpersonateClientOfPort: ein Server, der nicht validiert, welchen Client er imitiert, oder vergisst, das vom Aufrufer übergebene PORT_MESSAGE gegen die tatsächlich aus der Queue gezogene Nachricht zu prüfen, kann dazu gebracht werden, den Sicherheitskontext eines privilegierteren Clients anzunehmen. Historische Ausnutzungsmuster sind gut dokumentiert (Token-Kidnapping-Forschung von Cesar Cerrudo, diverse Project-Zero-LPC-Befunde), aber die moderne Angriffsmasse ist zu ALPC migriert, wo das Volumen legitimer Aufrufe enorm ist und besser tarnt. Direkte Ausnutzung von NtImpersonateClientOfPort ist heute selten und weitgehend auf Legacy-Ziele beschränkt.

Erkennungs­möglichkeiten

Das Volumen legitimer Aufrufe in 2025 ist klein genug, dass Verteidiger aggressiv Baselines erstellen können: jeden Prozess auflisten, der je aufgerufen hat, und Ausreißer als verdächtig behandeln. ETW Microsoft-Windows-Kernel-Audit-API-Calls und der Threat-Intelligence-Provider emittieren beide Impersonationsübergänge. Sysmon Event ID 4 (Treiber geladen) ist irrelevant, aber EID 1 Process Create + nachfolgende Token-Impersonationsübergänge (protokolliert via PsSetCreateThreadNotifyRoutineEx-gespeisten Sensoren) sind der praktische Ausweich. SeImpersonatePrivilege-Erteilungen am aufrufenden Token sind ein hervorragendes Vorsignal.

Direkte Syscall-Beispiele

; Direct syscall stub for NtImpersonateClientOfPort (SSN 0x1F, stable across builds)
NtImpersonateClientOfPort PROC
    mov  r10, rcx
    mov  eax, 1Fh
    syscall
    ret
NtImpersonateClientOfPort ENDP

// Server side of a legacy LPC port. Once a client has connected and sent a request,
// the server can briefly act as that client to perform a privileged operation on
// the client's behalf. This is the same shape as the early-2000s "Token Kidnapping"
// research where missing caller-message validation led to EoP.
NTSTATUS handle_client_request(HANDLE PortHandle, PPORT_MESSAGE Msg) {
    NTSTATUS s = NtImpersonateClientOfPort(PortHandle, Msg);
    if (!NT_SUCCESS(s)) return s;

    // *** Now running with the client's token ***
    // do_privileged_thing_on_behalf_of_client();

    RevertToSelf();
    return s;
}

MITRE ATT&CK-Mappings

• T1134Access Token Manipulationmitre ↗
• T1134.001Token Impersonation/Theftmitre ↗
• T1068Exploitation for Privilege Escalationmitre ↗