NtQueryInformationToken

Prototipo

NTSTATUS NtQueryInformationToken(
  HANDLE                  TokenHandle,
  TOKEN_INFORMATION_CLASS TokenInformationClass,
  PVOID                   TokenInformation,
  ULONG                   TokenInformationLength,
  PULONG                  ReturnLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 21 00 00 00      mov eax, 0x21
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtQueryInformationToken es la contraparte de lectura de NtSetInformationToken y lo que envuelve `advapi32!GetTokenInformation`. El SSN ha permanecido **estable en `0x21`** desde Windows 10 1507 hasta Windows 11 24H2. Las clases más útiles desde el lado ofensivo son `TokenUser` (SID de usuario), `TokenGroups` (SID de grupos — revela Administrators, BUILTIN\Backup Operators, etc.), `TokenPrivileges`, `TokenStatistics` (contiene el LUID necesario para vincular impersonación tipo `NtFilterToken`), `TokenIntegrityLevel`, `TokenElevation`, y `TokenLinkedToken` (el gemelo elevado del token usado por los bypass UAC Make-Me-Admin).

Uso común por malware

Los implantes usan NtQueryInformationToken para situational awareness justo tras el aterrizaje: ¿estamos elevados? ¿somos SYSTEM? ¿a qué grupos pertenecemos? ¿qué privilegios están activos? `TokenLinkedToken` es la pieza clave de la familia silenciosa de bypass UAC Make-Me-Admin (cadenas `AppInfo!RAiLaunchAdminProcess`): un proceso admin de IL medio consulta su propio token vinculado para obtener un handle al token de IL alto, luego duplica e impersona sin disparar consent.exe. `token::list` de Mimikatz simplemente enumera handles y llama a NtQueryInformationToken con `TokenUser` y `TokenStatistics`.

Oportunidades de detección

NtQueryInformationToken es extraordinariamente ruidoso en software legítimo — cada llamada COM, cada extensión shell, cada operación tipo `whoami` pasa por aquí. No es una detección útil por sí sola. Lo que sí es útil: correlacionar consultas `TokenLinkedToken` desde procesos de IL medio seguidas poco después por NtDuplicateToken + CreateProcessWithTokenW (patrón Make-Me-Admin), o consultas `TokenStatistics` seguidas inmediatamente por `NtSetInformationThread(ThreadImpersonationToken)` (cadena de impersonación). El provider ETW `Microsoft-Windows-Kernel-Audit-API-Calls` no registra específicamente las consultas de token; los defensores se apoyan habitualmente en el hook de user-mode del EDR sobre `ntdll!NtQueryInformationToken`.

Ejemplos de syscalls directos

NtQueryInformationToken PROC
    mov  r10, rcx          ; TokenHandle
    mov  eax, 21h          ; SSN stable across all builds
    syscall
    ret
NtQueryInformationToken ENDP

// Check if the current token belongs to NT AUTHORITY\SYSTEM.
BOOL IsRunningAsSystem(HANDLE hToken) {
    BYTE buf[256];
    ULONG ret = 0;
    if (!NT_SUCCESS(NtQueryInformationToken(
            hToken, TokenUser, buf, sizeof(buf), &ret)))
        return FALSE;

    PTOKEN_USER tu = (PTOKEN_USER)buf;
    PSID systemSid = NULL;
    SID_IDENTIFIER_AUTHORITY ntAuth = SECURITY_NT_AUTHORITY;
    AllocateAndInitializeSid(&ntAuth, 1, SECURITY_LOCAL_SYSTEM_RID,
                             0,0,0,0,0,0,0, &systemSid);
    BOOL eq = EqualSid(tu->User.Sid, systemSid);
    FreeSid(systemSid);
    return eq;
}

// Locate the elevated split-token sibling of an elevated-but-filtered process.
// If present, a high-IL token handle can be duplicated without UAC prompt.
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::Security::{
    TOKEN_LINKED_TOKEN, TOKEN_INFORMATION_CLASS,
};

const TOKEN_LINKED_TOKEN_CLASS: TOKEN_INFORMATION_CLASS = 19; // TokenLinkedToken

extern "system" {
    fn NtQueryInformationToken(
        h: HANDLE, class: TOKEN_INFORMATION_CLASS,
        buf: *mut u8, len: u32, ret: *mut u32) -> i32;
}

pub unsafe fn try_get_linked_token(h: HANDLE) -> Option<HANDLE> {
    let mut lt = TOKEN_LINKED_TOKEN { LinkedToken: 0 };
    let mut ret = 0u32;
    let s = NtQueryInformationToken(
        h, TOKEN_LINKED_TOKEN_CLASS,
        &mut lt as *mut _ as *mut u8,
        std::mem::size_of::<TOKEN_LINKED_TOKEN>() as u32,
        &mut ret);
    if s == 0 && lt.LinkedToken != 0 { Some(lt.LinkedToken) } else { None }
}

Mapeos MITRE ATT&CK

• T1134Access Token Manipulationmitre ↗
• T1033System Owner/User Discoverymitre ↗
• T1548.002Bypass User Account Controlmitre ↗
• T1106Native APImitre ↗