NtQuerySecurityObject

Prototyp

NTSTATUS NtQuerySecurityObject(
  HANDLE               Handle,
  SECURITY_INFORMATION SecurityInformation,
  PSECURITY_DESCRIPTOR SecurityDescriptor,
  ULONG                Length,
  PULONG               LengthNeeded
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 68 01 00 00      mov eax, 0x168
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

Universeller Accessor für Security Descriptors aller Objekttypen. Das Lesen der SACL erfordert SE_SECURITY_NAME (ACCESS_SYSTEM_SECURITY) — die meisten Aufrufer lassen SACL_SECURITY_INFORMATION daher weg. Liefert STATUS_BUFFER_TOO_SMALL mit der benötigten Größe in LengthNeeded; das Standardmuster ist ein Probe-Aufruf mit Length=0 gefolgt von Allokation. Die Win32-Wrapper GetSecurityInfo / GetKernelObjectSecurity / GetUserObjectSecurity landen alle hier.

Häufige Malware-Nutzung

Recon-Schritt, der einem SetSecurityObject fast immer vorausgeht — der Implant liest die aktuelle SDDL eines Ziels (Service-Registry-Schlüssel, geplante Task-Datei, EDR-Installationsverzeichnis), um zu wissen, was zu mergen oder zu strippen ist. Auch genutzt von Privileg-Discovery-Tools wie dem PowerSploit-Get-DomainObjectAcl-Äquivalent, um schwache ACLs (z. B. ein für Authenticated Users beschreibbarer Service-Registry-Schlüssel) zu finden, die berührungsfrei ausgenutzt werden können. In Credential-Theft-Ketten bestätigt NtQuerySecurityObject gegen ein LSASS-Handle, welche Privilegien und Access-Bits der Operator tatsächlich erhalten hat.

Erkennungs­möglichkeiten

Für sich genommen extrem hohes Volumen — jeder Öffnen-Dialog, jedes Eigenschaften-Fenster, jeder UAC-Prompt ruft es auf. Die Detection-Hürde ist der *Kontext*: NtQuerySecurityObject auf `HKLM\SYSTEM\CurrentControlSet\Services\<EDR>` oder auf `lsass.exe` aus einem nicht vertrauenswürdigen Prozess ist interessant. Object-Access-Auditing (Event 4663 mit `Accesses: Read SD`) deckt die meisten Fälle ab, ist aber ungetunt laut. EDRs, die Datei-/Prozess-Opens vermitteln, sehen das READ_CONTROL auf dem Handle, von dem NtQuerySecurityObject abhängt. Bluespawn-artige Detection fokussiert auf das gepaarte folgende SetSecurityObject.

Direkte Syscall-Beispiele

// Read the DACL of a service registry key in two calls.
ULONG needed = 0;
NTSTATUS st = NtQuerySecurityObject(hSvcKey, DACL_SECURITY_INFORMATION,
                                    NULL, 0, &needed);
if (st == STATUS_BUFFER_TOO_SMALL) {
    PVOID sd = RtlAllocateHeap(RtlProcessHeap(), 0, needed);
    st = NtQuerySecurityObject(hSvcKey, DACL_SECURITY_INFORMATION,
                               sd, needed, &needed);
    // Now walk the DACL and decide what to weaken.
}

NtQuerySecurityObject PROC
    mov  r10, rcx
    mov  eax, 168h
    syscall
    ret
NtQuerySecurityObject ENDP

// Cargo: ntapi = "0.4", windows-sys = "0.59"
let mut needed: u32 = 0;
let st = unsafe {
    NtQuerySecurityObject(h_dir,
        DACL_SECURITY_INFORMATION | OWNER_SECURITY_INFORMATION,
        null_mut(), 0, &mut needed)
};
assert_eq!(st, STATUS_BUFFER_TOO_SMALL as i32);
let mut buf = vec![0u8; needed as usize];
unsafe {
    NtQuerySecurityObject(h_dir,
        DACL_SECURITY_INFORMATION | OWNER_SECURITY_INFORMATION,
        buf.as_mut_ptr() as _, buf.len() as u32, &mut needed);
}

MITRE ATT&CK-Mappings

• T1069Permission Groups Discoverymitre ↗
• T1087Account Discoverymitre ↗
• T1106Native APImitre ↗