NtRequestPort

Prototype

NTSTATUS NtRequestPort(
  HANDLE         PortHandle,
  PPORT_MESSAGE  RequestMessage
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 86 01 00 00      mov eax, 0x186
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

NtRequestPort est la variante asynchrone sans réponse de NtRequestWaitReplyPort sur le chemin **LPC** historique. Le noyau copie le PORT_MESSAGE inline dans la file du port récepteur et retourne immédiatement — l'appelant ne bloque jamais sur une réponse serveur. Utilisé typiquement pour des notifications unidirectionnelles (p. ex. postage d'événements CSRSS sur les builds pré-Vista). Payload inline plafonné à PORT_MAXIMUM_MESSAGE_LENGTH (256 octets) ; pour davantage il faut une PORT_VIEW partagée préalablement négociée.

Usage courant par les malwares

Sur Windows moderne, l'usage par malware de NtRequestPort est *négligeable*. Historiquement quelques rootkits user-mode pré-Vista l'employaient comme signal de fan-out unidirectionnel (p. ex. notifier un composant co-résident de basculer d'état) précisément parce qu'aucun wrapper Win32 n'existe et que l'outillage userspace expose rarement le trafic LPC. Aujourd'hui un attaquant qui veut cette sémantique utilise NtAlpcSendWaitReceivePort avec `ALPC_MSGFLG_RELEASE_MESSAGE`, un mailslot en écriture ou un write sur named pipe. Toute requête LPC brute depuis un processus non signé est en soi anormale.

Opportunités de détection

Pas de provider ETW dédié au LPC historique équivalent à `Microsoft-Windows-Kernel-ALPC`. Les EDR kernel peuvent hooker le syscall directement ; les EDR user-mode hookent `ntdll!NtRequestPort`. La baseline d'appelants légitimes sur Windows 10/11 est quasi nulle (presque rien dans la base n'utilise plus de LPC brut), donc *tout* hit depuis un processus non signé ou sandboxé est à fort signal. WinObj montre les objets port vivants mais pas les messages en transit.

Exemples de syscalls directs

; Direct syscall stub for NtRequestPort (SSN 0x186 on Win11 24H2)
NtRequestPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 186h         ; SSN — verify per-build
    syscall
    ret
NtRequestPort ENDP

// Send a one-way LPC message on a connected port.
#include <windows.h>
#include <winternl.h>

typedef NTSTATUS (NTAPI *pNtRequestPort)(HANDLE, PVOID /*PPORT_MESSAGE*/);

NTSTATUS LpcNotify(HANDLE hPort, void *msgBuf) {
    pNtRequestPort fn = (pNtRequestPort)GetProcAddress(
        GetModuleHandleA("ntdll.dll"), "NtRequestPort");
    return fn(hPort, msgBuf);  // returns once the kernel queues the message
}

Mappings MITRE ATT&CK

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗