ThrottleStopPPL

विंडोज सर्वर 2022 पर ThrottleStop ड्राइवर (CVE-2025-7771) में कमजोरियों का शोषण करके Protected Process Light (PPL) सुरक्षा स्तरों को प्रबंधित करने के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट टूल।

अवलोकन

यह उपकरण ThrottleStop ड्राइवर द्वारा उजागर की गई मनमानी भौतिक मेमोरी रीड/राइट क्षमताओं के माध्यम से विशेषाधिकार वृद्धि का प्रदर्शन करता है। यह कर्नेल मेमोरी संरचनाओं में सीधे हेरफेर करके प्रक्रिया सुरक्षा स्तरों को संशोधित करने की अनुमति देता है।

विशेषताएँ

• मनमानी भौतिक मेमोरी रीड/राइट
• सुपरफ़ेच के माध्यम से वर्चुअल से भौतिक पता अनुवाद
• EPROCESS संरचना हेरफेर
• किसी भी प्रक्रिया के लिए PPL सुरक्षा स्तर संशोधन

उपयोग

PPLmanager.exe -p <pid> -v <protection_level>

विकल्प

• -p <pid> - संशोधित करने के लिए प्रक्रिया आईडी
• -v <protection_level> - हेक्साडेसिमल में सुरक्षा स्तर का मान
• -h - सहायता संदेश प्रदर्शित करें

सुरक्षा स्तर

आवश्यकताएँ

• विंडोज सर्वर 2022 (परीक्षित बिल्ड)
• प्रशासक विशेषाधिकार
• ThrottleStop ड्राइवर लोडेड

बिल्ड

प्रदान की गई समाधान फ़ाइल के साथ विजुअल स्टूडियो का उपयोग करके बिल्ड करें:

ThrottleStopPPL.sln

ड्राइवर सेटअप

कमजोर ThrottleStop ड्राइवर को रिसोर्स हैकर का उपयोग करके ThrottleStop.exe से निकाला जा सकता है।

ड्राइवर सेवा बनाएं और प्रारंभ करें:

sc create ThrottleStop binPath="<Path to driver>" type=kernel
sc start ThrottleStop

कमजोर IOCTLs

• 0x80006498 - मनमानी मेमोरी रीड
• 0x8000649C - मनमानी मेमोरी राइट
• 0x80006430 - मनमानी पोर्ट रीड
• 0x80006434 - मनमानी पोर्ट राइट

अस्वीकरण

यह केवल शैक्षिक और अनुसंधान उद्देश्यों के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट है। जिम्मेदारी से उपयोग करें और केवल उन सिस्टम पर जिनके आप मालिक हैं या जिनके परीक्षण की स्पष्ट अनुमति है।

श्रेय

यह परियोजना @fxrstor द्वारा मूल ThrottleStopPoC से प्रेरित है।

संदर्भ

• CVE-2025-7771
• सुपरफ़ेच वर्चुअल-से-भौतिक अनुवाद

लाइसेंस

केवल शैक्षिक और अनुसंधान उद्देश्यों के लिए।