NtAlpcDisconnectPort

Prototyp

NTSTATUS NtAlpcDisconnectPort(
  HANDLE  PortHandle,
  ULONG   Flags
);

Argumente

Syscall-IDs pro Windows-Version

Syscall-Stub

4C 8B D1            mov r10, rcx
B8 86 00 00 00      mov eax, 0x86
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Undokumentierte Hinweise

`NtAlpcDisconnectPort` ist die höfliche Verabschiedung einer ALPC-Verbindung — er sendet eine `LPC_PORT_CLOSED`-Nachricht in die Queue des Servers und reißt das Connection-Port-Paar ab. `NtClose` auf dem gleichen Handle beendet die Verbindung *auch*, aber ohne In-Band-Benachrichtigung, sodass der Server den toten Client erst beim nächsten Reply-Versuch entdeckt. Die meisten User-Mode-Aufrufer gehen direkt über `NtClose`; expliziter `NtAlpcDisconnectPort` wird vor allem vom RPC-Runtime (`rpcrt4.dll`) genutzt, wenn ein LRPC-Binding mit `RpcBindingFree` heruntergefahren wird. Per-Connection-ALPC-Views, Security-Contexts und Message-Reservierungen werden im selben Schritt freigegeben.

Häufige Malware-Nutzung

Geringes offensives Interesse — Housekeeping. Bemerkenswerte Nutzung ist *Post-Exploit-Cleanup*: ALPC-LPE-PoCs, die Server-seitigen State missbrauchen, rufen `NtAlpcDisconnectPort` (oder schließen das Handle) typischerweise direkt nach dem Race-Gewinn, damit die Server-Sicht des Austauschs normal aussieht und Crash Dumps das bösartige Connection-Port-Objekt nicht resident halten. Das Flag `ALPC_DISCONNECT_FLAG_NO_DISCONNECT_MESSAGE` kann genutzt werden, um einen Server gezielt um die `LPC_PORT_CLOSED`-Benachrichtigung zu bringen — nützlich, wenn der Server per-Connection-State nur beim Empfang dieser Nachricht aufräumt; ein Fuzzer oder PoC kann das nutzen, um Server-State zwischen Runs zu leaken.

Erkennungs­möglichkeiten

Allein kein nützliches Detection-Signal. Disconnects dominieren den ALPC-Traffic auf jeder aktiven Workstation. Der einzige fruchtbare Winkel ist *Korrelation*: ein Client-Prozess, der eine Flut von `NtAlpcConnectPort` … `NtAlpcSendWaitReceivePort` … `NtAlpcDisconnectPort`-Zyklen gegen denselben Server in dichter Folge absetzt, ist ein Kandidat für ALPC-Fuzzing oder Exploit-Triggering. Der ETW-Provider `Microsoft-Windows-Kernel-ALPC` (falls aktiv) loggt Disconnects; das entsprechende RPC-Teardown taucht in `Microsoft-Windows-RPC` auf.

Direkte Syscall-Beispiele

// Cleanly close an LRPC client port. The server receives an LPC_PORT_CLOSED message
// before the handle is freed, allowing prompt per-connection cleanup on its side.
#include <windows.h>
#include <winternl.h>

NTSTATUS NTAPI NtAlpcDisconnectPort(HANDLE, ULONG);

void CloseLrpcClient(HANDLE hPort) {
    NtAlpcDisconnectPort(hPort, 0); // 0 = send the courtesy LPC_PORT_CLOSED
    NtClose(hPort);                  // release the handle table entry
}

; Direct syscall stub for NtAlpcDisconnectPort (SSN 0x86 on Win11 24H2 / Server 2025)
NtAlpcDisconnectPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 86h          ; SSN
    syscall
    ret
NtAlpcDisconnectPort ENDP

MITRE ATT&CK-Mappings

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗