NtRequestWaitReplyPort

Prototipo

NTSTATUS NtRequestWaitReplyPort(
  HANDLE         PortHandle,
  PPORT_MESSAGE  Request,
  PPORT_MESSAGE  Reply
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 22 00 00 00      mov eax, 0x22
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

NtRequestWaitReplyPort es la primitiva request/response síncrona del subsistema **LPC** heredado — conceptualmente equivalente a `NtAlpcSendWaitReceivePort` con `ALPC_MSGFLG_SYNC_REQUEST`. Envía un PORT_MESSAGE y bloquea el hilo llamante hasta que el servidor responda vía `NtReplyPort` o `NtReplyWaitReceivePort`. El SSN `0x22` está congelado desde Windows 10 1507, reflejando el estado legacy de LPC en la tabla. El payload en línea está limitado a PORT_MAXIMUM_MESSAGE_LENGTH (256 bytes); transferencias mayores requieren una PORT_VIEW compartida intercambiada en el connect.

Uso común por malware

En Windows contemporáneo, el uso práctico de NtRequestWaitReplyPort por malware es esencialmente *histórico*: los rootkits en user mode pre-Vista y los primeros droppers IPC-aware lo usaban como C2 sigiloso intra-host entre un loader y un payload inyectado porque no existía wrapper Win32 y el tráfico nunca tocaba la pila de red. Los atacantes modernos prefieren ALPC, named pipes o secciones compartidas — cualquier observación de tráfico LPC en crudo request/reply es por sí misma anómala y merece investigación.

Oportunidades de detección

Sin proveedor ETW dedicado a LPC heredado equivalente a `Microsoft-Windows-Kernel-ALPC`. Los EDR de kernel pueden hookear el syscall directamente; los EDR de user mode hookean `ntdll!NtRequestWaitReplyPort`. Como la línea base de llamantes legítimos en Windows 10/11 es prácticamente nula (casi nada en el SO sigue usando LPC en crudo para RPC), *cualquier* hit desde un proceso sin firmar o sandboxeado es de alta señal. La vista de puertos por proceso de SystemInformer muestra los handles LPC distintos de los ALPC.

Ejemplos de syscalls directos

; Direct syscall stub for NtRequestWaitReplyPort (SSN 0x22, stable Win10 1507+)
NtRequestWaitReplyPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 22h          ; SSN
    syscall
    ret
NtRequestWaitReplyPort ENDP

// Send a request and wait for the reply on a connected LPC port.
#include <windows.h>
#include <winternl.h>

#define PORT_MAXIMUM_MESSAGE_LENGTH 256

typedef NTSTATUS (NTAPI *pNtRequestWaitReplyPort)(
    HANDLE, PVOID /*PPORT_MESSAGE*/, PVOID /*PPORT_MESSAGE*/);

NTSTATUS LpcCall(HANDLE hPort, void *reqBuf, void *replyBuf) {
    pNtRequestWaitReplyPort fn = (pNtRequestWaitReplyPort)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtRequestWaitReplyPort");
    return fn(hPort, reqBuf, replyBuf);
}

// Cargo: ntapi = "0.4"
use ntapi::ntlpcapi::NtRequestWaitReplyPort;
use winapi::shared::ntdef::{HANDLE, NTSTATUS};

unsafe fn lpc_call(port: HANDLE, req: *mut u8, reply: *mut u8) -> NTSTATUS {
    NtRequestWaitReplyPort(port, req as *mut _, reply as *mut _)
}

Mapeos MITRE ATT&CK

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗