NtQueryInformationToken

Prototype

NTSTATUS NtQueryInformationToken(
  HANDLE                  TokenHandle,
  TOKEN_INFORMATION_CLASS TokenInformationClass,
  PVOID                   TokenInformation,
  ULONG                   TokenInformationLength,
  PULONG                  ReturnLength
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 21 00 00 00      mov eax, 0x21
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtQueryInformationToken est le pendant lecture de NtSetInformationToken et ce qu'enrobe `advapi32!GetTokenInformation`. Le SSN est **resté stable à `0x21`** de Windows 10 1507 à Windows 11 24H2. Les classes les plus utiles côté offensif sont `TokenUser` (SID utilisateur), `TokenGroups` (SID de groupes — révèle Administrators, BUILTIN\Backup Operators, etc.), `TokenPrivileges`, `TokenStatistics` (contient le LUID nécessaire au lien d'impersonation façon `NtFilterToken`), `TokenIntegrityLevel`, `TokenElevation`, et `TokenLinkedToken` (le jumeau élevé du jeton, utilisé par les bypass UAC Make-Me-Admin).

Usage courant par les malwares

Les implants utilisent NtQueryInformationToken pour la situational awareness juste après l'atterrissage : sommes-nous élevés ? sommes-nous SYSTEM ? à quels groupes appartenons-nous ? quels privilèges sont actifs ? `TokenLinkedToken` est la clé de la famille silencieuse de bypass UAC Make-Me-Admin (chaînes `AppInfo!RAiLaunchAdminProcess`) : un processus admin IL moyen interroge son propre jeton lié pour obtenir un handle vers le jeton IL élevé, puis duplique et impersonne sans déclencher consent.exe. `token::list` de Mimikatz énumère simplement les handles et appelle NtQueryInformationToken avec `TokenUser` puis `TokenStatistics`.

Opportunités de détection

NtQueryInformationToken est extraordinairement bruyant dans les logiciels légitimes — chaque appel COM, chaque extension shell, chaque opération style `whoami` y passe. Ce n'est pas une détection utile en soi. Ce qui est utile : corréler des requêtes `TokenLinkedToken` depuis des processus IL moyen suivies peu après par NtDuplicateToken + CreateProcessWithTokenW (motif Make-Me-Admin), ou des requêtes `TokenStatistics` suivies immédiatement par `NtSetInformationThread(ThreadImpersonationToken)` (chaîne d'impersonation). Le provider ETW `Microsoft-Windows-Kernel-Audit-API-Calls` ne logue pas spécifiquement les requêtes de jeton ; les défenseurs s'appuient typiquement sur le hook user-mode de l'EDR sur `ntdll!NtQueryInformationToken`.

Exemples de syscalls directs

NtQueryInformationToken PROC
    mov  r10, rcx          ; TokenHandle
    mov  eax, 21h          ; SSN stable across all builds
    syscall
    ret
NtQueryInformationToken ENDP

// Check if the current token belongs to NT AUTHORITY\SYSTEM.
BOOL IsRunningAsSystem(HANDLE hToken) {
    BYTE buf[256];
    ULONG ret = 0;
    if (!NT_SUCCESS(NtQueryInformationToken(
            hToken, TokenUser, buf, sizeof(buf), &ret)))
        return FALSE;

    PTOKEN_USER tu = (PTOKEN_USER)buf;
    PSID systemSid = NULL;
    SID_IDENTIFIER_AUTHORITY ntAuth = SECURITY_NT_AUTHORITY;
    AllocateAndInitializeSid(&ntAuth, 1, SECURITY_LOCAL_SYSTEM_RID,
                             0,0,0,0,0,0,0, &systemSid);
    BOOL eq = EqualSid(tu->User.Sid, systemSid);
    FreeSid(systemSid);
    return eq;
}

// Locate the elevated split-token sibling of an elevated-but-filtered process.
// If present, a high-IL token handle can be duplicated without UAC prompt.
use windows_sys::Win32::Foundation::HANDLE;
use windows_sys::Win32::Security::{
    TOKEN_LINKED_TOKEN, TOKEN_INFORMATION_CLASS,
};

const TOKEN_LINKED_TOKEN_CLASS: TOKEN_INFORMATION_CLASS = 19; // TokenLinkedToken

extern "system" {
    fn NtQueryInformationToken(
        h: HANDLE, class: TOKEN_INFORMATION_CLASS,
        buf: *mut u8, len: u32, ret: *mut u32) -> i32;
}

pub unsafe fn try_get_linked_token(h: HANDLE) -> Option<HANDLE> {
    let mut lt = TOKEN_LINKED_TOKEN { LinkedToken: 0 };
    let mut ret = 0u32;
    let s = NtQueryInformationToken(
        h, TOKEN_LINKED_TOKEN_CLASS,
        &mut lt as *mut _ as *mut u8,
        std::mem::size_of::<TOKEN_LINKED_TOKEN>() as u32,
        &mut ret);
    if s == 0 && lt.LinkedToken != 0 { Some(lt.LinkedToken) } else { None }
}

Mappings MITRE ATT&CK

• T1134Access Token Manipulationmitre ↗
• T1033System Owner/User Discoverymitre ↗
• T1548.002Bypass User Account Controlmitre ↗
• T1106Native APImitre ↗