Port 135 : à quoi sert-il vraiment ? Guide sécurité [2026]

Le port 135 est utilisé par le service RPC (Remote Procedure Call) de Windows pour la gestion des communications entre processus, notamment l’activation de services COM/DCOM, la planification de tâches et l’administration à distance. Concrètement, il sert de point d’entrée initial : un client contacte le port 135 pour obtenir un identifiant de point de terminaison dynamique (port éphémère) sur lequel la session de données réelle s’établira. Cette architecture explique pourquoi il est indispensable au fonctionnement de l’écosystème Windows, mais aussi pourquoi il constitue une cible privilégiée pour les exploits comme EternalBlue ou les attaques de type Pass-the-Hash. En environnement exposé, le port 135 est associé à plus de 60 % des tentatives d’intrusion automatisées sur les réseaux internes, selon les relevés de télémétrie des pare-feu. Sa gestion doit donc être différenciée : le désactiver totalement casse l’infrastructure Active Directory, tandis que le laisser ouvert sans restriction expose le système à une compromission quasi immédiate. La réponse tient en un équilibre : restreindre son accès par périmètre, authentification et segmentation, plutôt que de le bannir aveuglément.

What is Port 135?

Port 135 is the TCP/UDP endpoint for the Windows Remote Procedure Call (RPC) Endpoint Mapper service, also known as the RPC Locator. It is the initial contact point for any RPC-based communication on a Windows network, telling clients which dynamic port (typically 49152–65535) hosts the actual service they need.

What is 135 port used for? It handles the registration and lookup of RPC endpoints. When a client wants to use a service like Exchange, SQL Server, or Microsoft Management Console (MMC), it sends a request to port 135 on the target machine; the Endpoint Mapper replies with the ephemeral port where the service is listening. This is why port 135 is often called the “RPC portmapper” — it is the directory, not the service itself.

TCP 135 port used for is the primary protocol for this handshake; UDP 135 is used for legacy RPC broadcasts and some name service operations. The traffic is unencrypted by default, which makes it a high-value target for enumeration and exploitation.

Aspect	Detail
Protocol	TCP/UDP
Service	RPC Endpoint Mapper (MSRPC)
Default dynamic range	49152–65535 (Windows Vista/Server 2008+)
Legacy dynamic range	1024–5000 (Windows XP/Server 2003)
Registry key	HKLM\Software\Microsoft\Rpc\Internet

Local relevance: On any Windows server in your zone, port 135 is active by default. If you manage a firewall, blocking inbound 135 to domain controllers or file servers will break Active Directory replication, Group Policy processing, and remote management (WinRM, WMI). Conversely, exposing it to the internet is a known attack vector — the 2021 Hafnium Exchange attacks and numerous SMB/RPC worms (e.g., Blaster) used port 135 for initial access or lateral movement.

Operational notes: To reduce exposure, restrict source IPs for port 135 to your management subnet. For services that require RPC, you can pin the dynamic range to a fixed set of ports via netsh int ipv4 set dynamicport tcp start=49152 num=1000, then firewall only those. Monitoring port 135 traffic is a reliable early indicator of reconnaissance: a sudden burst of connection attempts to 135 from a single host usually precedes a vulnerability scan or exploit attempt.

FAQ local: Why does my security scan flag 135? Because it is a legitimate but frequently abused service — the scanner cannot distinguish a benign RPC call from an attack. Can I disable it? Only if you remove all RPC-dependent services (COM+, DCOM, WMI, scheduled tasks), which is impractical on a standard Windows deployment. Does it affect Linux clients? No, but Samba servers can expose port 135 for Windows interop; disable rpc_server if not needed.

We wouldn’t believe it either.

Le port TCP 135 n’est pas un simple numéro : c’est le point d’entrée du Remote Procedure Call (RPC) Endpoint Mapper de Windows. Concrètement, il permet à un client de demander « quel port dynamique utilise le service X ? » avant d’établir la connexion réelle. Sans lui, aucun service RPC dynamique (plage 49152-65535 sur Windows moderne) ne peut être localisé. C’est le standard depuis Windows NT, toujours actif sur Windows 11 et Server 2022.

Ce que fait réellement le port 135 :

• Il répond aux requêtes de résolution d’endpoint RPC (interface UUID → port TCP/UDP).
• Il est utilisé par des services critiques : Planificateur de tâches, Services de composants (COM/DCOM), WMI (Windows Management Instrumentation), Exchange, Active Directory.
• Il fonctionne en TCP et UDP, mais le trafic TCP est dominant pour les appels RPC orientés connexion.

Pourquoi c’est un sujet sensible localement :

• Sur un réseau d’entreprise, le port 135 exposé à Internet est une porte d’entrée historique pour des exploits comme EternalBlue (MS17-010) et des attaques de type RPC DCOM (MS03-026). En 2023, Shodan recensait encore plus de 2,5 millions d’hôtes exposés sur ce port.
• Les scanners de vulnérabilité (Nessus, Qualys) le testent systématiquement : un port 135 ouvert en sortie de pare-feu est un signal d’alerte immédiat.
• Les administrateurs le bloquent souvent en périphérie, mais le laissent ouvert en interne pour le fonctionnement de l’infrastructure.

Bonnes pratiques locales (ce que les experts vérifient) :

• Restreindre le port 135 aux sous-réseaux de confiance via GPO ou pare-feu Windows (règle « RPC Endpoint Mapper »).
• Activer la signature RPC (via stratégie de sécurité) pour empêcher l’usurpation.
• Surveiller les connexions sortantes vers le port 135 : un poste qui contacte un IP externe sur ce port est probablement compromis (C2 ou scan).
• Sur les serveurs, désactiver les services RPC non nécessaires (ex. : DCOM si non utilisé) pour réduire la surface d’attaque.

Tableau récapitulatif des usages courants :

Service	Port initial	Port dynamique	Dépend du 135 ?
WMI	135	49152+	Oui
Planificateur de tâches	135	49152+	Oui
Exchange (RPC)	135	6001-6004	Oui
DCOM	135	49152+	Oui
Active Directory (réplication)	135	49152+	Oui

Piège classique : beaucoup pensent que bloquer le 135 suffit. Faux : si le pare-feu laisse passer le trafic RPC sur les ports dynamiques (ex. via une règle trop large), l’Endpoint Mapper peut toujours être atteint via une redirection. La bonne méthode est de filtrer à la fois le 135 et la plage dynamique, ou d’utiliser un proxy RPC.

En résumé local : le 135 est indispensable en interne, mais doit être invisible depuis l’extérieur. Un audit rapide : netstat -an | findstr :135 pour vérifier les connexions actives, et sc query RpcSs pour confirmer que le service tourne. Si vous gérez un parc Windows, considérez le 135 comme un indicateur de santé réseau : toute anomalie de trafic dessus justifie une investigation immédiate.

How to Make Sure Port 135 is Secure

La sécurisation du port 135 (TCP) repose sur un principe unique : ne jamais l’exposer à Internet. Ce port, utilisé par le service RPC (Remote Procedure Call) de Windows, est la porte d’entrée historique des exploits critiques (Blaster, EternalBlue). Toute exposition directe est une faille potentielle.

1. Blocage au pare-feu (règle absolue)

• Pare-feu Windows : Créez une règle de blocage entrante pour le port 135 (TCP) sur les profils « Public » et « Domaine ». Autorisez uniquement le profil « Privé » si votre réseau local est de confiance.
• Pare-feu périphérique : Sur votre routeur ou pare-feu matériel, bloquez le port 135 entrant depuis le WAN. Vérifiez avec un scan externe (ex. nmap -p 135 <IP_publique>) : le port doit apparaître comme filtered ou closed, jamais open.

2. Restriction RPC (pour environnements Active Directory) Si le port 135 doit rester actif en interne (pour la réplication AD ou la gestion à distance), restreignez sa portée :

• Définissez des plages de ports dynamiques RPC : via netsh int ipv4 set dynamicport tcp start=49152 num=16384. Cela limite les ports éphémères utilisés par RPC, réduisant la surface d’attaque.
• Utilisez l’authentification au niveau du paquet (PRA) : Activez « Packet Privacy » ou « Packet Integrity » dans les paramètres RPC (via GPO ou registre HKLM\SOFTWARE\Microsoft\Rpc\SecurityService). Cela empêche les attaques par relais.

3. Désactivation des services inutiles Le port 135 n’est nécessaire que si des services RPC sont actifs. Désactivez les services non essentiels qui l’écoutent :

• Server Service (LanmanServer) : si vous n’avez pas de partage de fichiers, désactivez-le. Il écoute sur le port 135.
• Distributed Transaction Coordinator (MSDTC) : désactivez-le si non utilisé (ex. bases de données distribuées).
• Remote Registry : désactivez ce service. Il est rarement nécessaire et constitue un vecteur d’attaque direct.

4. Mise à jour et durcissement système

• Appliquez les correctifs : Le port 135 a été le vecteur de nombreuses vulnérabilités critiques (CVE-2003-0352, CVE-2008-4250). Un système non patché est compromettable même avec un pare-feu actif (attaques internes).
• Désactivez SMBv1 : SMB (port 445) est souvent lié à RPC dans les attaques. Désactivez SMBv1 via PowerShell (Set-SmbServerConfiguration -EnableSMB1Protocol $false).

5. Surveillance et détection

• Activez les journaux de pare-feu : Consignez les tentatives de connexion sur le port 135. Une augmentation soudaine indique un scan ou une tentative d’exploitation.
• Surveillez les connexions établies : Utilisez netstat -ano | findstr :135 pour identifier les connexions actives. Toute connexion sortante vers un port 135 distant est suspecte (sauf si vous utilisez un outil d’administration légitime).

6. Cas particulier : environnement cloud et virtualisé

• Groupes de sécurité (AWS/Azure) : N’autorisez le port 135 que depuis des adresses IP spécifiques (ex. votre IP de gestion). Ne jamais utiliser 0.0.0.0/0.
• Isolation réseau : Placez les machines nécessitant RPC dans un sous-réseau dédié, séparé des autres ressources par un pare-feu interne.

Tableau récapitulatif des actions prioritaires

| Action | Priorité | Impact | |--------|----------|

Monitoring and Troubleshooting Port 135

Le monitoring de port 135 exige une visibilité sur les connexions RPC (Remote Procedure Call) entrantes et sortantes, car ce port est la porte d’entrée du service RpcSs (Remote Procedure Call Subsystem). Une surveillance passive via NetFlow ou IPFIX suffit pour détecter les volumes anormaux, mais un audit actif avec netstat ou ss est nécessaire pour identifier les processus hôtes.

Commandes de diagnostic essentielles :

• netstat -ano | findstr :135 (Windows) : liste les PID et adresses distantes connectées.
• ss -tnp | grep :135 (Linux) : affiche les sockets TCP actifs et les processus associés.
• Get-NetTCPConnection -LocalPort 135 (PowerShell) : fournit l’état (Listen/Established) et le propriétaire.

Interprétation des états :

• LISTENING : le service RPC est opérationnel ; un seul processus (svchost.exe sur Windows, rpcbind sur Unix) doit écouter.
• ESTABLISHED vers des IP internes : trafic RPC légitime (ex. réplication Active Directory, WMI, planificateur de tâches).
• ESTABLISHED vers des IP externes ou inconnues : suspicion immédiate de mouvement latéral ou d’exploitation (ex. CVE-2021-1675, PrintNightmare).

Seuils d’alerte recommandés :

• Plus de 10 connexions simultanées vers une même IP depuis un poste de travail : comportement anormal (un serveur de fichiers peut en générer 50+ légitimement).
• Taux de connexions refusées (RST) > 5 % du trafic total sur 135 : signe de scan ou de configuration défaillante.
• Volume de données > 1 Mo/s sur 135 : rare en environnement standard (sauf réplication AD massive).

Pièges courants de dépannage :

• Le port 135 est souvent confondu avec 137-139 (NetBIOS) ; il ne doit pas être bloqué sur les contrôleurs de domaine, sinon l’authentification Kerberos et la réplication échouent.
• Un pare-feu qui filtre 135 sans exempter les sous-réseaux AD (ex. 10.0.0.0/8) provoque des erreurs RPC server unavailable (0x800706BA).
• Vérifiez que le service Remote Procedure Call (RPC) et le RPC Endpoint Mapper sont démarrés (services.msc) ; leur arrêt rend le port muet.

Outils avancés :

• RPC Dump (rpcping) : teste la connectivité et la latence du endpoint mapper.
• Wireshark avec filtre tcp.port == 135 : analyse les trames RPC_BIND et RPC_FAULT (code 5 = accès refusé, code 1722 = serveur indisponible).
• Journaux Windows (Event ID 5719, 5805) : corrèlent les échecs de connexion 135 avec les problèmes de résolution DNS ou de synchronisation horaire.

Tableau récapitulatif des erreurs fréquentes :

Symptôme	Cause probable	Action correctrice
RPC server unavailable	Port 135 bloqué par pare-feu	Autoriser 135 + ports dynamiques RPC (49152-65535)
Timeout sur rpcping	Service RpcSs arrêté	Redémarrer via net start RpcSs
Connexions sortantes vers IP publique	Malware utilisant RPC	Isoler la machine, analyser avec EDR
Access denied (code 5)	Droits insuffisants sur l’objet distant	Vérifier les permissions DCOM (dcomcnfg)

En environnement cloud (AWS, Azure), les groupes de sécurité doivent explicitement restreindre 135 aux IP des domain controllers ; tout accès

Frequently Asked Questions

Q : Le port TCP 135 est-il sûr à exposer sur Internet ? Non. L’exposition directe du port 135 sur Internet est un vecteur critique de compromission. Il est la porte d’entrée historique des exploits comme EternalBlue (MS17-010) et de nombreux vers. Tout pare-feu doit bloquer le port 135 en entrée depuis les réseaux non fiables. En sortie, son usage légitime est rare ; le bloquer en sortie réduit le risque d’exfiltration via des outils d’administration à distance.

Q : Quels services Windows utilisent réellement le port 135 ? Le port 135 est le point de terminaison du Remote Procedure Call (RPC) Endpoint Mapper. Il ne transporte pas les données métier, il sert uniquement à demander : « quel port dynamique (49152-65535) utilise le service X ? ». Les services qui dépendent de ce mappage incluent : la planification des tâches, le service de profil utilisateur, le service de stratégie de groupe, WMI (Windows Management Instrumentation), et l’administration du serveur (MMC). Sans le port 135, ces services ne peuvent pas démarrer de session de gestion.

Q : Quelle est la différence entre le port 135 et les ports dynamiques RPC ? Le port 135 est fixe (le mappeur). Les ports dynamiques (49152-65535 par défaut sur Windows Server 2008 et ultérieurs) sont attribués aléatoirement par le système pour chaque session RPC réelle. Bloquer uniquement le port 135 est insuffisant : il faut aussi restreindre la plage de ports dynamiques via netsh int ipv4 set dynamicport tcp start=49152 num=16384 pour un contrôle granulaire. Pour les scénarios de pare-feu, il est recommandé de réduire cette plage (ex. : 5000-5100) et de l’ouvrir uniquement pour les sous-réseaux de confiance.

Q : Le port 135 est-il utilisé par SMB ? Non, SMB utilise les ports 445 (TCP) et 139 (TCP/UDP). La confusion vient du fait que SMB et RPC sont souvent utilisés ensemble pour l’administration. Le port 135 est strictement réservé à RPC. Une analyse de trafic montrant du trafic vers le port 135 indique une tentative de découverte de services, pas un transfert de fichiers.

Q : Comment tester si le port 135 est accessible depuis l’extérieur ? Utilisez Test-NetConnection -ComputerName <IP> -Port 135 (PowerShell) ou nc -zv <IP> 135 (Netcat). Un résultat « TcpTestSucceeded : True » indique une exposition. Pour un audit complet, utilisez rpcdump.py (outil Impacket) qui énumère les interfaces RPC enregistrées sur le port 135 et révèle les services vulnérables.

Q : Pourquoi le port 135 est-il souvent détecté comme « vulnerable » dans les scans Nessus/Qualys ? Le scanner ne teste pas le port lui-même, mais la version de Windows et les correctifs associés. Le port 135 étant la porte d’entrée de l’API RPC, un scan positif indique que le système est potentiellement exposé à des vulnérabilités RPC connues (ex. : CVE-2017-0143, CVE-2021-1675). La correction est l’application des correctifs, pas la fermeture du port (qui casserait l’administration).

Q : Peut-on changer le port 135 pour un autre numéro ? Non. Le port 135 est une constante du protocole RPC. Il ne peut pas être reconfiguré. La seule alternative est de le masquer derrière un VPN ou un tunnel SSH pour l’administration distante, ou de migrer vers WinRM (port 5985/5986) qui est plus sûr et moderne.

Q : Le port 135 est-il utilisé par d’autres systèmes que Windows ? Oui, le port 135 est également utilisé par des implémentations RPC sur Linux (rpcbind) et par certains

Questions fréquentes

À quoi sert le port 135 ?

Le port 135 est utilisé par le service RPC (Remote Procedure Call) de Microsoft pour la gestion et la communication entre processus sur un réseau Windows. Il permet aux applications de demander des services à d’autres machines, notamment pour l’administration à distance, l’activation de services COM/DCOM ou la gestion de l’annuaire Active Directory.

Le port 135 est-il dangereux ?

Oui, il est souvent ciblé par des attaquants car il est exposé par défaut sur les systèmes Windows. Des failles historiques comme Blaster (2003) ou des exploits de type « EternalBlue » l’ont utilisé pour exécuter du code à distance. Il est recommandé de le bloquer en périphérie du réseau (firewall) si les services RPC ne sont pas nécessaires en externe.

Quels services utilisent le port 135 ?

Le port 135 est le point d’entrée du service « Remote Procedure Call (RPC) Locator » et du gestionnaire de points de terminaison RPC. Il est utilisé par des services comme le Planificateur de tâches, la Gestion de l’ordinateur, les services de réplication DFS, ou encore par des applications qui s’appuient sur DCOM (par exemple, certaines bases de données ou outils d’administration).

Comment vérifier si le port 135 est ouvert sur ma machine ?

Sous Windows, ouvrez une invite de commandes et tapez netstat -an | findstr :135. Si une ligne avec l’état « LISTENING » apparaît, le port est actif. Vous pouvez aussi utiliser netstat -ab pour identifier le processus associé. Sous Linux, utilisez ss -tlnp | grep 135 ou nmap -p 135 <adresse_ip> pour tester à distance.

Faut-il désactiver le port 135 ?

Pas systématiquement. Sur un poste de travail ou un serveur isolé, vous pouvez le désactiver en arrêtant le service « RPC Endpoint Mapper » (ce qui peut casser des fonctions système). La bonne pratique est de le restreindre par pare-feu : autoriser uniquement les sous-réseaux de confiance et bloquer l’accès depuis Internet. Ne le désactivez pas sans évaluer l’impact sur les applications métier.

Comment sécuriser le port 135 sur un serveur Windows ?

Appliquez les correctifs de sécurité Windows à jour, activez le pare-feu Windows avec des règles restrictives pour le port 135 (limitez aux adresses IP autorisées), et désactivez les services RPC/DCOM non essentiels. Utilisez également l’authentification Kerberos et le chiffrement RPC si possible. Pour un audit, surveillez les connexions entrantes vers ce port avec un outil de journalisation.

Conclusion

Le port 135 est un composant critique de l’infrastructure Windows, servant de point d’entrée au service RPC (Remote Procedure Call) Endpoint Mapper. Concrètement, il permet à un client de localiser dynamiquement les points de terminaison RPC (ports dynamiques) utilisés par des services comme le Planificateur de tâches, les services de réplication Active Directory, ou la gestion à distance WMI. Sans lui, la communication inter-processus sur le réseau serait impossible dans un environnement Windows natif.

Son exposition sur un réseau public ou non fiable représente un risque majeur. Historiquement, il est associé à des vulnérabilités critiques (ex. MS03-026, EternalBlue via SMB, mais aussi des attaques par rebond sur RPC) et à des campagnes de scan automatisé. Un port 135 ouvert est un indicateur de présence Windows et une porte d’entrée potentielle pour l’exécution de code à distance, l’élévation de privilèges ou la collecte d’informations (énumération des utilisateurs, des partages, des services).

La gestion de ce port doit être stricte et basée sur le principe du moindre privilège. En pratique, il faut le bloquer au niveau du pare-feu périphérique pour tout trafic entrant provenant d’Internet. En interne, il est recommandé de le restreindre aux seules sous-réseaux administratifs de confiance, en utilisant des listes de contrôle d’accès (ACL) IP. Pour les communications entre serveurs, l’utilisation de l’authentification Kerberos et du chiffrement RPC (via la signature et le scellement) réduit considérablement les risques d’interception ou de falsification. Il est également possible de configurer des plages de ports dynamiques fixes pour faciliter le filtrage, mais cela ne remplace pas la nécessité de surveiller les journaux de connexion sur ce port.

En conclusion, le port 135 n’est pas un protocole applicatif de haut niveau, mais un mécanisme d’orchestration indispensable. Son utilité est réelle et légitime en interne, mais sa présence sur une interface exposée est un signal d’alarme. Toute politique de sécurité doit inclure son blocage systématique en périphérie, une segmentation réseau stricte, et une surveillance active des tentatives de connexion. Négliger ce port revient à laisser une clé de passage connue de tous les attaquants dans la serrure de votre infrastructure.

Train free for a week.

L’offre « Train free for a week » est une promotion temporaire, généralement liée à un lancement de service, un partenariat commercial ou une opération de fidélisation. Elle ne désigne pas un port standard ni une fonctionnalité réseau. Concrètement, elle permet à un utilisateur de bénéficier d’un accès gratuit à un service de réservation ou de billetterie ferroviaire pendant sept jours consécutifs.

Dans le contexte technique, cette offre est souvent activée via un code promo ou un lien de parrainage. Le port 135 n’intervient pas dans ce processus : il s’agit d’un port TCP/UDP utilisé par Windows pour la communication RPC (Remote Procedure Call). Il sert à la gestion des services système, à l’authentification distribuée et à certaines fonctions d’administration à distance. Une confusion peut naître si un site ou une application de train utilise le port 135 pour une communication interne, mais c’est rare et non recommandé pour des raisons de sécurité.

Pour l’utilisateur final, « Train free for a week » signifie généralement : inscription obligatoire, validité de sept jours à partir de l’activation, et limitation à certaines lignes ou classes de service. Les conditions incluent souvent une réservation préalable, un nombre de trajets plafonné, et l’exclusion des périodes de pointe. L’offre est non cumulable et ne donne pas droit à un remboursement si elle n’est pas utilisée.

D’un point de vue pratique, cette promotion vise à tester un service, à attirer de nouveaux clients vers une application mobile ou à promouvoir une nouvelle liaison. Elle ne modifie en rien les protocoles réseau ni les ports utilisés par le système de billetterie. Si vous cherchez des informations sur le port 135, sachez qu’il est souvent ciblé par des malwares ; il doit être filtré en pare-feu pour éviter les accès non autorisés. En résumé, « Train free for a week » est une offre marketing, sans lien avec la configuration réseau, et le port 135 reste un composant technique distinct, à sécuriser indépendamment.

Sur le même thème

• Port 135