ThrottleStopPPL

Una herramienta de prueba de concepto para gestionar los niveles de protección de Procesos Ligeros Protegidos (PPL) en Windows Server 2022 mediante la explotación de vulnerabilidades en el controlador ThrottleStop (CVE-2025-7771).

Descripción general

Esta herramienta demuestra una elevación de privilegios a través de capacidades arbitrarias de lectura/escritura de memoria física expuestas por el controlador ThrottleStop. Permite modificar los niveles de protección de procesos manipulando directamente las estructuras de memoria del kernel.

Características

• Lectura/escritura arbitraria de memoria física
• Traducción de direcciones virtuales a físicas mediante Superfetch
• Manipulación de la estructura EPROCESS
• Modificación del nivel de protección PPL para cualquier proceso

Uso

PPLmanager.exe -p <pid> -v <protection_level>

Opciones

• -p <pid> - ID del proceso a modificar
• -v <protection_level> - Valor del nivel de protección en hexadecimal
• -h - Mostrar mensaje de ayuda

Niveles de protección

Requisitos

• Windows Server 2022 (compilación probada)
• Privilegios de administrador
• Controlador ThrottleStop cargado

Compilación

Compile con Visual Studio usando el archivo de solución proporcionado:

ThrottleStopPPL.sln

Configuración del controlador

El controlador vulnerable ThrottleStop puede extraerse de ThrottleStop.exe mediante Resource Hacker.

Cree e inicie el servicio del controlador:

sc create ThrottleStop binPath="<Path to driver>" type=kernel
sc start ThrottleStop

IOCTLs vulnerables

• 0x80006498 - Lectura arbitraria de memoria
• 0x8000649C - Escritura arbitraria de memoria
• 0x80006430 - Lectura arbitraria de puerto
• 0x80006434 - Escritura arbitraria de puerto

Aviso legal

Esto es una prueba de concepto con fines exclusivamente educativos y de investigación. Úselo de manera responsable y únicamente en sistemas que le pertenezcan o sobre los que tenga permiso explícito para realizar pruebas.

Créditos

Este proyecto está inspirado en el ThrottleStopPoC original de @fxrstor.

Referencias

• CVE-2025-7771
• Traducción virtual a física de Superfetch

Licencia

Solo con fines educativos y de investigación.