NtRequestWaitReplyPort

Prototyp

NTSTATUS NtRequestWaitReplyPort(
  HANDLE         PortHandle,
  PPORT_MESSAGE  Request,
  PPORT_MESSAGE  Reply
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 22 00 00 00      mov eax, 0x22
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

NtRequestWaitReplyPort ist die synchrone Request/Response-Primitive des Legacy-**LPC**-Subsystems — konzeptionell äquivalent zu `NtAlpcSendWaitReceivePort` mit `ALPC_MSGFLG_SYNC_REQUEST`. Sie sendet eine PORT_MESSAGE und blockiert den Caller-Thread, bis der Server via `NtReplyPort` oder `NtReplyWaitReceivePort` antwortet. Die SSN `0x22` ist seit Windows 10 1507 eingefroren, ein Spiegel des Legacy-Status von LPC in der Tabelle. Inline-Payload ist auf PORT_MAXIMUM_MESSAGE_LENGTH (256 Byte) gedeckelt; größere Transfers erfordern eine beim Connect ausgetauschte Shared PORT_VIEW.

Häufige Malware-Nutzung

Auf zeitgenössischem Windows ist der praktische Einsatz von NtRequestWaitReplyPort durch Malware im Wesentlichen *historisch*: Pre-Vista-User-Mode-Rootkits und frühe IPC-fähige Dropper nutzten es als verdeckten Intra-Host-C2 zwischen Loader und injiziertem Payload, weil kein Win32-Wrapper existierte und der Verkehr den Netzwerk-Stack nie berührte. Moderne Angreifer bevorzugen klar ALPC, Named Pipes oder Shared Sections — jede Beobachtung roher LPC-Request/Reply-Verkehrs ist also schon für sich auffällig und ermittlungswürdig.

Erkennungs­möglichkeiten

Es gibt keinen dedizierten ETW-Provider für Legacy-LPC analog zu `Microsoft-Windows-Kernel-ALPC`. Kernel-EDRs können den Syscall direkt hooken; User-Mode-EDRs hooken `ntdll!NtRequestWaitReplyPort`. Da die Baseline legitimer Caller auf Windows 10/11 praktisch null ist (kaum noch ein OS-Bestandteil nutzt rohes LPC für RPC), ist *jeder* Treffer aus einem unsignierten oder gesandboxten Prozess hochaussagekräftig. SystemInformers Port-Ansicht pro Prozess zeigt LPC-Handles getrennt von ALPC-Handles an.

Direkte Syscall-Beispiele

; Direct syscall stub for NtRequestWaitReplyPort (SSN 0x22, stable Win10 1507+)
NtRequestWaitReplyPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 22h          ; SSN
    syscall
    ret
NtRequestWaitReplyPort ENDP

// Send a request and wait for the reply on a connected LPC port.
#include <windows.h>
#include <winternl.h>

#define PORT_MAXIMUM_MESSAGE_LENGTH 256

typedef NTSTATUS (NTAPI *pNtRequestWaitReplyPort)(
    HANDLE, PVOID /*PPORT_MESSAGE*/, PVOID /*PPORT_MESSAGE*/);

NTSTATUS LpcCall(HANDLE hPort, void *reqBuf, void *replyBuf) {
    pNtRequestWaitReplyPort fn = (pNtRequestWaitReplyPort)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtRequestWaitReplyPort");
    return fn(hPort, reqBuf, replyBuf);
}

// Cargo: ntapi = "0.4"
use ntapi::ntlpcapi::NtRequestWaitReplyPort;
use winapi::shared::ntdef::{HANDLE, NTSTATUS};

unsafe fn lpc_call(port: HANDLE, req: *mut u8, reply: *mut u8) -> NTSTATUS {
    NtRequestWaitReplyPort(port, req as *mut _, reply as *mut _)
}

MITRE ATT&CK-Mappings

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗