NtAccessCheckByType

Prototype

NTSTATUS NtAccessCheckByType(
  PSECURITY_DESCRIPTOR  SecurityDescriptor,
  PSID                  PrincipalSelfSid,
  HANDLE                ClientToken,
  ACCESS_MASK           DesiredAccess,
  POBJECT_TYPE_LIST     ObjectTypeList,
  ULONG                 ObjectTypeListLength,
  PGENERIC_MAPPING      GenericMapping,
  PPRIVILEGE_SET        PrivilegeSet,
  PULONG                PrivilegeSetLength,
  PACCESS_MASK          GrantedAccess,
  PNTSTATUS             AccessStatus
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 63 00 00 00      mov eax, 0x63
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

Cousin étendu de `NtAccessCheck` qui comprend une *hiérarchie d'objet typée*. Là où `NtAccessCheck` évalue une DACL contre un DesiredAccess, `NtAccessCheckByType` parcourt une `OBJECT_TYPE_LIST` (racine → types enfants, identifiés par GUID) et peut accorder l'accès demandé au niveau parent tout en le refusant à un type enfant spécifique — le modèle qu'utilise AD pour des permissions fines comme 'Read All Properties' contre 'Read PasswordLastSet'. Les ACE object-specific (`ACCESS_ALLOWED_OBJECT_ACE`, `ACCESS_DENIED_OBJECT_ACE`) portent un GUID correspondant à une des entrées OBJECT_TYPE_LIST. Le numéro de syscall `0x63` est stable de Windows 10 1507 jusqu'à Server 2025 et Win11 24H2 — l'un des syscalls les plus stables de la table.

Usage courant par les malwares

Signal malware faible — c'est une primitive de sécurité libre-service utilisée par les **logiciels côté serveur**, pas par le malware. Elle apparaît dans les chemins d'autorisation Active Directory (lsass.exe, dsamain.exe), dans COM+/Component Services (catsrv.dll), dans Authorization Manager (azroles.dll) et dans du code broker d'accès MS-SQL. Les usages offensifs documentés se limitent à : (1) reconnaissance AD de privilège, où un attaquant appelle AccessCheckByType localement contre son propre token plus un descripteur de sécurité récupéré d'un DC pour énumérer exactement quels attributs AD le principal courant peut lire/écrire — équivalent à la collecte de droits d'utilisateur de BloodHound mais côté client et sans bruit réseau ; (2) de la recherche de bypass UAC basée COM l'a utilisé pour vérifier qu'une chaîne d'exploit retourne effectivement un bit d'accès précédemment refusé. Pas d'usage de famille de malware majeure documenté en primitive principale.

Opportunités de détection

Le signal télémétrique est essentiellement nul pour le syscall lui-même — trop bruyant dans les charges AD et COM+ légitimes pour alarmer. Les défenseurs se concentrent plutôt sur : l'audit d'accès objet (Event ID 4663) côté propriétaires de ressources (AD via 4662 'object operation', COM+ via l'audit Component Services), qui se déclenche *après* la décision AccessCheckByType. ETW Microsoft-Windows-Security-Auditing couvre la catégorie d'audit côté AD. Pour les apps COM et Authorization Manager, des providers ETW AppLog custom peuvent émettre les verdicts d'access-check. Côté EDR, AccessCheckByType appelé par un processus non-serveur ciblant un descripteur d'objet AD (reconnaissable aux GUIDs dans l'OBJECT_TYPE_LIST) est un indicateur faible de reconnaissance style BloodHound.

Exemples de syscalls directs

; Direct syscall stub for NtAccessCheckByType (SSN 0x63 stable across all builds)
NtAccessCheckByType PROC
    mov  r10, rcx          ; syscall convention
    mov  eax, 63h          ; SSN — stable everywhere
    syscall
    ret
NtAccessCheckByType ENDP

// AD authorization sample: the caller wants to read the 'unicodePwd' attribute
// on a user object. OBJECT_TYPE_LIST has the user class at level 0 and the
// attribute at level 1; AccessCheckByType returns per-level masks.
#include <windows.h>
#include <accctrl.h>
#include <aclapi.h>

BOOL CheckCanReadAttribute(PSECURITY_DESCRIPTOR sd, HANDLE clientToken,
                           const GUID* classGuid, const GUID* attrGuid)
{
    OBJECT_TYPE_LIST otl[2] = {
        { ACCESS_OBJECT_GUID, 0, (GUID*)classGuid },
        { ACCESS_PROPERTY_GUID, 0, (GUID*)attrGuid },
    };
    GENERIC_MAPPING gm = { 0x20094, 0x20028, 0, 0xF01FF };
    PRIVILEGE_SET ps; ULONG psLen = sizeof(ps);
    ACCESS_MASK granted = 0; BOOL accessStatus = FALSE;

    return AccessCheckByType(sd, NULL, clientToken, ACTRL_DS_READ_PROP,
        otl, 2, &gm, &ps, &psLen, &granted, &accessStatus) && accessStatus;
}

// Variant: caller passes its own impersonation token plus a DC-fetched SD
// for a target object and probes a list of attribute GUIDs to discover the
// effective rights without round-tripping LDAP queries to the DC.
#include <windows.h>
#include <stdio.h>

void EnumerateLocalRights(PSECURITY_DESCRIPTOR sd, HANDLE myToken,
                          const GUID* classGuid,
                          const GUID* attrGuids, size_t n)
{
    for (size_t i = 0; i < n; ++i) {
        if (CheckCanReadAttribute(sd, myToken, classGuid, &attrGuids[i])) {
            wprintf(L"+ readable attr %zu\n", i);
        }
    }
}

Mappings MITRE ATT&CK

• T1087.002Account Discovery: Domain Accountmitre ↗
• T1069.002Permission Groups Discovery: Domain Groupsmitre ↗
• T1106Native APImitre ↗