ThrottleStopPPL

Ein Proof-of-Concept-Tool zur Verwaltung von Protected Process Light (PPL)-Schutzstufen auf Windows Server 2022 durch Ausnutzung von Sicherheitslücken im ThrottleStop-Treiber (CVE-2025-7771).

Übersicht

Dieses Tool demonstriert eine Rechteausweitung durch willkürliche Lese-/Schreibzugriffe auf den physischen Speicher, die über den ThrottleStop-Treiber bereitgestellt werden. Es ermöglicht die Änderung von Prozessschutzstufen durch direkte Manipulation von Kernel-Speicherstrukturen.

Funktionen

• Willkürliches Lesen/Schreiben des physischen Speichers
• Übersetzung virtueller in physische Adressen mittels Superfetch
• Manipulation von EPROCESS-Strukturen
• Änderung der PPL-Schutzstufe für jeden Prozess

Verwendung

PPLmanager.exe -p <pid> -v <schutzstufe>

Optionen

• -p <pid> - Prozess-ID, die geändert werden soll
• -v <schutzstufe> - Wert der Schutzstufe in hexadezimaler Schreibweise
• -h - Hilfemeldung anzeigen

Schutzstufen

Voraussetzungen

• Windows Server 2022 (getesteter Build)
• Administratorrechte
• Geladener ThrottleStop-Treiber

Build

Erstellen Sie das Projekt mit Visual Studio und der bereitgestellten Projektmappendatei:

ThrottleStopPPL.sln

Treibereinrichtung

Der anfällige ThrottleStop-Treiber kann mit Resource Hacker aus ThrottleStop.exe extrahiert werden.

Dienst erstellen und starten:

sc create ThrottleStop binPath="<Pfad zum Treiber>" type=kernel
sc start ThrottleStop

Angreifbare IOCTLs

• 0x80006498 - Willkürlicher Speicherlesezugriff
• 0x8000649C - Willkürlicher Speicherschreibzugriff
• 0x80006430 - Willkürlicher Portlesezugriff
• 0x80006434 - Willkürlicher Portschreibzugriff

Haftungsausschluss

Dies ist ein Proof-of-Concept zu Bildungs- und Forschungszwecken. Verwenden Sie es verantwortungsvoll und nur auf Systemen, die Ihnen gehören oder für die Sie ausdrückliche Testberechtigung haben.

Danksagung

Dieses Projekt wurde inspiriert durch das ursprüngliche ThrottleStopPoC von @fxrstor.

Referenzen

• CVE-2025-7771
• Superfetch – Übersetzung virtueller in physische Adressen

Lizenz

Nur zu Bildungs- und Forschungszwecken.