ThrottleStopPPL

Un outil de preuve de concept pour gérer les niveaux de protection Protected Process Light (PPL) sous Windows Server 2022 en exploitant des vulnérabilités du pilote ThrottleStop (CVE-2025-7771).

Aperçu

Cet outil démontre une élévation de privilèges grâce à des capacités de lecture/écriture mémoire physique arbitraire exposées par le pilote ThrottleStop. Il permet de modifier les niveaux de protection des processus en manipulant directement les structures mémoire du noyau.

Fonctionnalités

• Lecture/écriture mémoire physique arbitraire
• Traduction d'adresse virtuelle en physique via Superfetch
• Manipulation de la structure EPROCESS
• Modification du niveau de protection PPL pour tout processus

Utilisation

PPLmanager.exe -p <pid> -v <protection_level>

Options

• -p <pid> - ID du processus à modifier
• -v <protection_level> - Valeur du niveau de protection en hexadécimal
• -h - Afficher le message d'aide

Niveaux de protection

Configuration requise

• Windows Server 2022 (build testé)
• Privilèges administrateur
• Pilote ThrottleStop chargé

Compilation

Compiler avec Visual Studio en utilisant le fichier solution fourni :

ThrottleStopPPL.sln

Installation du pilote

Le pilote vulnérable ThrottleStop peut être extrait de ThrottleStop.exe à l'aide de Resource Hacker.

Créer et démarrer le service du pilote :

sc create ThrottleStop binPath="<Chemin du pilote>" type=kernel
sc start ThrottleStop

IOCTLs vulnérables

• 0x80006498 - Lecture mémoire arbitraire
• 0x8000649C - Écriture mémoire arbitraire
• 0x80006430 - Lecture de port arbitraire
• 0x80006434 - Écriture de port arbitraire

Avertissement

Ceci est une preuve de concept à des fins éducatives et de recherche uniquement. Utilisez-le de manière responsable et uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation explicite de test.

Crédits

Ce projet s'inspire de l'original ThrottleStopPoC par @fxrstor.

Références

• CVE-2025-7771
• Traduction virtuelle-vers-physique de Superfetch

Licence

À des fins éducatives et de recherche uniquement.