ThrottleStopPPL

أداة إثبات مفهوم لإدارة مستويات حماية العمليات المحمية الخفيفة (Protected Process Light - PPL) على Windows Server 2022 عبر استغلال ثغرات في برنامج تشغيل ThrottleStop (CVE-2025-7771).

نظرة عامة

توضح هذه الأداة تصعيد الامتيازات عبر قدرات القراءة/الكتابة العشوائية للذاكرة الفعلية التي يوفرها برنامج تشغيل ThrottleStop. كما تتيح تعديل مستويات حماية العمليات عن طريق التلاعب المباشر بهياكل ذاكرة النواة.

الميزات

• قراءة/كتابة عشوائية للذاكرة الفعلية
• ترجمة العناوين من الافتراضية إلى الفعلية عبر Superfetch
• التلاعب بهيكل EPROCESS
• تعديل مستوى حماية PPL لأي عملية

الاستخدام

PPLmanager.exe -p <pid> -v <protection_level>

الخيارات

• -p <pid> - معرّف العملية المراد تعديلها
• -v <protection_level> - قيمة مستوى الحماية بالنظام الست عشري
• -h - عرض رسالة المساعدة

مستويات الحماية

المتطلبات

• Windows Server 2022 (الإصدار المُختبَر)
• صلاحيات المسؤول
• تحميل برنامج تشغيل ThrottleStop

البناء

قم بالبناء باستخدام Visual Studio مع ملف الحل المرفق:

ThrottleStopPPL.sln

إعداد برنامج التشغيل

يمكن استخراج برنامج تشغيل ThrottleStop الثغري من ThrottleStop.exe باستخدام Resource Hacker.

أنشئ خدمة برنامج التشغيل ثم ابدأ تشغيلها:

sc create ThrottleStop binPath="<Path to driver>" type=kernel
sc start ThrottleStop

رموز IOCTL الثغرية

• 0x80006498 - قراءة عشوائية للذاكرة
• 0x8000649C - كتابة عشوائية للذاكرة
• 0x80006430 - قراءة عشوائية لمنفذ
• 0x80006434 - كتابة عشوائية لمنفذ

إخلاء المسؤولية

هذه أداة إثبات مفهوم لأغراض تعليمية وبحثية فقط. استخدمها بمسؤولية وعلى الأنظمة التي تملكها أو التي لديك إذن صريح لاختبارها فقط.

الاعتمادات

هذا المشروع مستوحى من مشروع ThrottleStopPoC الأصلي الذي أعده @fxrstor.

المراجع

• CVE-2025-7771
• Superfetch Virtual-to-Physical Translation

الترخيص

لأغراض تعليمية وبحثية فقط.