NtOpenSection

Prototipo

NTSTATUS NtOpenSection(
  PHANDLE            SectionHandle,
  ACCESS_MASK        DesiredAccess,
  POBJECT_ATTRIBUTES ObjectAttributes
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 37 00 00 00      mov eax, 0x37      ; stable across all builds
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Devuelve un handle a un objeto sección preexistente resuelto a través del namespace del object manager NT — típicamente `\BaseNamedObjects\<nombre>` para llamadores Win32 o `\KnownDlls\<dll>` para secciones de imagen cargadas por el SO. El SSN se ha mantenido constante en `0x37` desde Windows 10 1507 hasta Windows 11 24H2, lo que lo convierte en un candidato fiable para syscalls directos codificados. `OpenFileMapping` es el wrapper Win32 que construye el nombre `\Sessions\<id>\BaseNamedObjects\<nombre>` y llama a este syscall.

Uso común por malware

Dos patrones de abuso distintos. (1) **Prerrequisito de poisoning de KnownDlls**: los implantes abren `\KnownDlls\<objetivo>.dll` con `SECTION_MAP_WRITE` (habitualmente solo posible con alta integridad o si la sección fue reemplazada previamente) y sobrescriben los bytes ejecutables de una DLL del sistema aún mapeada image-cow en cada proceso — una primitiva write-once / infect-all clásica de la investigación original sobre hijack de KnownDlls. (2) **Abuso de IPC de servicio privilegiado**: algunos servicios de Windows exponen secciones con nombre en `\BaseNamedObjects\` para IPC legítima; las herramientas ofensivas abren esas secciones para espiar el protocolo o pasar datos a través de fronteras de integridad. La estabilidad perfecta del SSN hace de `NtOpenSection` un syscall directo codificado popular en loaders red-team.

Oportunidades de detección

Sysmon Event 7 (ImageLoad) y Event 10 (ProcessAccess) no cubren directamente las aperturas de sección. El evento ETW `Microsoft-Windows-Kernel-General` ID 6 (ImageLoad) se dispara en el mapping posterior. Para detección de alta fidelidad, los callbacks kernel en `ObRegisterCallbacks` para `*PsSectionType` permiten auditar aperturas de handle, y los proveedores EDR hookean cada vez más `NtOpenSection` para marcar aperturas de `\KnownDlls\*` con acceso de escritura. Desde userland, `NtQuerySystemInformation(SystemHandleInformation)` enumera todos los handles de sección actualmente abiertos — un snapshot periódico revela handles de sección inter-proceso inusuales.

Ejemplos de syscalls directos

// Open \BaseNamedObjects\MySharedSection for read access.
UNICODE_STRING name;
RtlInitUnicodeString(&name, L"\\BaseNamedObjects\\MySharedSection");

OBJECT_ATTRIBUTES oa;
InitializeObjectAttributes(&oa, &name, OBJ_CASE_INSENSITIVE, NULL, NULL);

HANDLE hSection = NULL;
NTSTATUS s = NtOpenSection(&hSection, SECTION_MAP_READ | SECTION_QUERY, &oa);
if (!NT_SUCCESS(s)) return s;

PVOID view = NULL;
SIZE_T viewSize = 0;
NtMapViewOfSection(hSection, NtCurrentProcess(),
                   &view, 0, 0, NULL, &viewSize,
                   ViewShare, 0, PAGE_READONLY);

; NtOpenSection direct stub — SSN 0x37 on every Win10/Win11 build
NtOpenSection PROC
    mov  r10, rcx
    mov  eax, 37h
    syscall
    ret
NtOpenSection ENDP

// Read-only open of \KnownDlls\kernel32.dll — useful for unhooking ntdll
// by comparing a fresh image against the loaded one.
use ntapi::ntmmapi::NtOpenSection;
use ntapi::ntobapi::OBJ_CASE_INSENSITIVE;
use winapi::shared::ntdef::{HANDLE, OBJECT_ATTRIBUTES, UNICODE_STRING};
use std::{mem, ptr::null_mut};

unsafe fn open_known_dll(name: &str) -> HANDLE {
    let wide: Vec<u16> = format!("\\KnownDlls\\{}", name).encode_utf16().collect();
    let mut us = UNICODE_STRING {
        Length: (wide.len() * 2) as u16,
        MaximumLength: (wide.len() * 2) as u16,
        Buffer: wide.as_ptr() as *mut u16,
    };
    let mut oa: OBJECT_ATTRIBUTES = mem::zeroed();
    oa.Length = mem::size_of::<OBJECT_ATTRIBUTES>() as u32;
    oa.ObjectName = &mut us;
    oa.Attributes = OBJ_CASE_INSENSITIVE;
    let mut h: HANDLE = null_mut();
    let s = NtOpenSection(&mut h, 0x0004 /* SECTION_MAP_READ */, &mut oa);
    assert!(s >= 0);
    h
}

Mapeos MITRE ATT&CK

• T1574.001DLL Search Order Hijackingmitre ↗
• T1106Native APImitre ↗