NtOpenProcess

Prototyp

NTSTATUS NtOpenProcess(
  PHANDLE            ProcessHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes,
  PCLIENT_ID         ClientId
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 26 00 00 00      mov eax, 0x26
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Das Öffnen per PID ist der Weg, den nahezu jeglicher Userland-Code geht — `ObjectName` ist typischerweise NULL und `ClientId.UniqueProcess` trägt die Ziel-PID. SSN `0x26` ist über jeden ausgelieferten Win10/11-Build stabil. Das Win32-`OpenProcess` ist ein dünner Wrapper, der `OBJECT_ATTRIBUTES` und `CLIENT_ID` befüllt, bevor er diese Funktion aufruft. Der Zugriff wird vom SecurityDescriptor des Ziels und registrierten Object-Callbacks geregelt; PPL/PP-Prozesse (`lsass.exe` mit Credential Guard, MsMpEng.exe) verweigern unabhängig von Privilegien alles außer `PROCESS_QUERY_LIMITED_INFORMATION`.

Häufige Malware-Nutzung

Der erste Schritt nahezu jeder Cross-Process-Attacke: ein Handle mit den für den nächsten Schritt nötigen Rechten beschaffen. `PROCESS_VM_READ` für LSASS-Dumping, `PROCESS_VM_WRITE | PROCESS_VM_OPERATION | PROCESS_CREATE_THREAD` für klassische Injection, `PROCESS_DUP_HANDLE` für Token-Diebstahl. Modernes Toolings öffnet mittlerweile mit der minimal nötigen Maske (`0x1010` für nur-lesenden LSASS-Zugriff) statt mit `PROCESS_ALL_ACCESS` (`0x1FFFFF`), um EDR-Regeln zu umgehen, die auf der vollen Maske basieren.

Erkennungs­möglichkeiten

Sysmon Event ID 10 (`ProcessAccess`) ist die kanonische Telemetrie — jedes `NtOpenProcess`, das ein Handle auf einen anderen Prozess liefert, feuert dieses Event mit `SourceProcessGUID`, `TargetProcessGUID`, `GrantedAccess` und einem Callstack. Verteidiger filtern die rauschigen kurzen Masken und alarmieren bei gefährlichen Kombinationen gegen `lsass.exe`, `MsMpEng.exe`, Browser etc. Kernelseitig erlaubt `ObRegisterCallbacks` PPL-schützenden Treibern (und EDRs), Rechte zu strippen oder das Open vor Rückgabe des Handles zu vetoieren — der Mechanismus hinter LSASS-PPL. Direkte Syscalls umgehen Object-Callbacks nicht.

Direkte Syscall-Beispiele

; Direct syscall stub for NtOpenProcess (SSN 0x26, stable across all Win10/11)
NtOpenProcess PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 26h          ; SSN
    syscall
    ret
NtOpenProcess ENDP

// Minimal-rights LSASS open used by nanodump and lsassy to evade GrantedAccess rules.
OBJECT_ATTRIBUTES oa;
CLIENT_ID         cid = { (HANDLE)(ULONG_PTR)lsass_pid, NULL };
InitializeObjectAttributes(&oa, NULL, 0, NULL, NULL);

HANDLE hLsass = NULL;
// PROCESS_QUERY_INFORMATION | PROCESS_VM_READ == 0x1010
NTSTATUS st = NtOpenProcess(&hLsass, 0x1010, &oa, &cid);
if (!NT_SUCCESS(st)) return st;

// Resolve SSN at runtime; useful when ntdll.dll is hooked.
use std::arch::asm;

#[unsafe(naked)]
unsafe extern "system" fn nt_open_process_stub() {
    asm!(
        "mov r10, rcx",
        "mov eax, 0x26",   // stable across all Win10/11 builds
        "syscall",
        "ret",
        options(noreturn),
    );
}

MITRE ATT&CK-Mappings

• T1057Process Discoverymitre ↗
• T1003.001OS Credential Dumping: LSASS Memorymitre ↗
• T1055Process Injectionmitre ↗
• T1134Access Token Manipulationmitre ↗