NtQuerySecurityObject

Prototipo

NTSTATUS NtQuerySecurityObject(
  HANDLE               Handle,
  SECURITY_INFORMATION SecurityInformation,
  PSECURITY_DESCRIPTOR SecurityDescriptor,
  ULONG                Length,
  PULONG               LengthNeeded
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 68 01 00 00      mov eax, 0x168
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

Accesor universal a descriptores de seguridad para todos los tipos de objeto. Leer la SACL requiere SE_SECURITY_NAME (ACCESS_SYSTEM_SECURITY) — la mayoría de los llamadores omiten por tanto SACL_SECURITY_INFORMATION. Devuelve STATUS_BUFFER_TOO_SMALL con el tamaño requerido en LengthNeeded; el patrón estándar es una llamada sonda con Length=0 seguida de una asignación. Los wrappers Win32 GetSecurityInfo / GetKernelObjectSecurity / GetUserObjectSecurity acaban aquí.

Uso común por malware

Paso de reconocimiento que casi siempre precede a un SetSecurityObject — el implante lee el SDDL actual de un objetivo (clave de registro de servicio, fichero de tarea programada, directorio de instalación de EDR) para saber qué fusionar o quitar. También lo usan herramientas de descubrimiento de privilegios como el equivalente a Get-DomainObjectAcl de PowerSploit para detectar ACL débiles (p. ej. una clave de registro de servicio escribible por Authenticated Users) explotables sin tocar nada. En cadenas de robo de credenciales, NtQuerySecurityObject contra un handle de LSASS confirma qué privilegios y bits de acceso obtuvo realmente el operador.

Oportunidades de detección

Por sí solo, volumen extremadamente alto — cada diálogo Abrir, cada ventana Propiedades, cada prompt UAC lo invoca. La barra de detección es el *contexto*: NtQuerySecurityObject sobre `HKLM\SYSTEM\CurrentControlSet\Services\<EDR>` o sobre `lsass.exe` desde un proceso no confiable es interesante. La auditoría de acceso a objetos (Event 4663 con `Accesses: Read SD`) cubre la mayoría de los casos pero es ruidosa hasta ajustarla. Los EDR que median las aperturas fichero/proceso ven el READ_CONTROL del handle del que depende NtQuerySecurityObject. La detección estilo Bluespawn se centra en el SetSecurityObject *emparejado* que sigue.

Ejemplos de syscalls directos

// Read the DACL of a service registry key in two calls.
ULONG needed = 0;
NTSTATUS st = NtQuerySecurityObject(hSvcKey, DACL_SECURITY_INFORMATION,
                                    NULL, 0, &needed);
if (st == STATUS_BUFFER_TOO_SMALL) {
    PVOID sd = RtlAllocateHeap(RtlProcessHeap(), 0, needed);
    st = NtQuerySecurityObject(hSvcKey, DACL_SECURITY_INFORMATION,
                               sd, needed, &needed);
    // Now walk the DACL and decide what to weaken.
}

NtQuerySecurityObject PROC
    mov  r10, rcx
    mov  eax, 168h
    syscall
    ret
NtQuerySecurityObject ENDP

// Cargo: ntapi = "0.4", windows-sys = "0.59"
let mut needed: u32 = 0;
let st = unsafe {
    NtQuerySecurityObject(h_dir,
        DACL_SECURITY_INFORMATION | OWNER_SECURITY_INFORMATION,
        null_mut(), 0, &mut needed)
};
assert_eq!(st, STATUS_BUFFER_TOO_SMALL as i32);
let mut buf = vec![0u8; needed as usize];
unsafe {
    NtQuerySecurityObject(h_dir,
        DACL_SECURITY_INFORMATION | OWNER_SECURITY_INFORMATION,
        buf.as_mut_ptr() as _, buf.len() as u32, &mut needed);
}

Mapeos MITRE ATT&CK

• T1069Permission Groups Discoverymitre ↗
• T1087Account Discoverymitre ↗
• T1106Native APImitre ↗