NtAlpcDisconnectPort

Prototype

NTSTATUS NtAlpcDisconnectPort(
  HANDLE  PortHandle,
  ULONG   Flags
);

Arguments

IDs de syscalls par version de Windows

Stub du syscall

4C 8B D1            mov r10, rcx
B8 86 00 00 00      mov eax, 0x86
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notes non documentées

`NtAlpcDisconnectPort` est l'au-revoir poli d'une connexion ALPC — il envoie un message `LPC_PORT_CLOSED` à la file du serveur et démonte la paire de ports de connexion. `NtClose` sur le même handle termine *aussi* la connexion, mais sans notification in-band, laissant le serveur découvrir le client mort uniquement lorsqu'il tentera la prochaine réponse. La plupart des appelants user-mode passent par `NtClose` directement ; `NtAlpcDisconnectPort` explicite est surtout utilisé par le runtime RPC (`rpcrt4.dll`) lorsqu'un binding LRPC est arrêté avec `RpcBindingFree`. Les vues ALPC par-connexion, contextes de sécurité et réservations de message sont libérés en même temps.

Usage courant par les malwares

Intérêt offensif faible — c'est du ménage. L'usage notable est le *nettoyage post-exploit* : les PoC LPE ALPC qui abusent de l'état serveur appellent typiquement `NtAlpcDisconnectPort` (ou ferment le handle) juste après avoir gagné la course, pour que la vue du serveur de l'échange paraisse normale et que les crash dumps ne conservent pas l'objet port de connexion malveillant résident. Le flag `ALPC_DISCONNECT_FLAG_NO_DISCONNECT_MESSAGE` peut servir à priver délibérément un serveur de notification `LPC_PORT_CLOSED` — utile si le serveur ne nettoie l'état par-connexion qu'à la réception de ce message ; un fuzzer ou un PoC peut s'en servir pour leaker de l'état serveur entre runs.

Opportunités de détection

Pas un signal de détection utile pris isolément. Les déconnexions dominent le trafic ALPC sur toute station active. Le seul angle fructueux est la *corrélation* : un processus client qui émet une rafale de cycles `NtAlpcConnectPort` … `NtAlpcSendWaitReceivePort` … `NtAlpcDisconnectPort` contre le même serveur rapidement est candidat au fuzzing ALPC ou au déclenchement d'exploit. Le provider ETW `Microsoft-Windows-Kernel-ALPC` (si activé) journalise les déconnexions ; le tear-down RPC correspondant apparaît dans `Microsoft-Windows-RPC`.

Exemples de syscalls directs

// Cleanly close an LRPC client port. The server receives an LPC_PORT_CLOSED message
// before the handle is freed, allowing prompt per-connection cleanup on its side.
#include <windows.h>
#include <winternl.h>

NTSTATUS NTAPI NtAlpcDisconnectPort(HANDLE, ULONG);

void CloseLrpcClient(HANDLE hPort) {
    NtAlpcDisconnectPort(hPort, 0); // 0 = send the courtesy LPC_PORT_CLOSED
    NtClose(hPort);                  // release the handle table entry
}

; Direct syscall stub for NtAlpcDisconnectPort (SSN 0x86 on Win11 24H2 / Server 2025)
NtAlpcDisconnectPort PROC
    mov  r10, rcx          ; PortHandle
    mov  eax, 86h          ; SSN
    syscall
    ret
NtAlpcDisconnectPort ENDP

Mappings MITRE ATT&CK

• T1559Inter-Process Communicationmitre ↗
• T1106Native APImitre ↗