ThrottleStopPPL

Uno strumento proof-of-concept per gestire i livelli di protezione Protected Process Light (PPL) su Windows Server 2022 sfruttando vulnerabilità nel driver ThrottleStop (CVE-2025-7771).

Panoramica

Questo strumento dimostra l'escalation dei privilegi attraverso capacità di lettura/scrittura arbitraria della memoria fisica esposte dal driver ThrottleStop. Permette la modifica dei livelli di protezione dei processi manipolando direttamente le strutture di memoria del kernel.

Caratteristiche

• Lettura/scrittura arbitraria della memoria fisica
• Traduzione da indirizzo virtuale a fisico tramite Superfetch
• Manipolazione della struttura EPROCESS
• Modifica del livello di protezione PPL per qualsiasi processo

Utilizzo

PPLmanager.exe -p <pid> -v <protection_level>

Opzioni

• -p <pid> - ID del processo da modificare
• -v <protection_level> - Valore del livello di protezione in esadecimale
• -h - Mostra il messaggio di aiuto

Livelli di protezione

Requisiti

• Windows Server 2022 (build testato)
• Privilegi di amministratore
• Driver ThrottleStop caricato

Compilazione

Compila usando Visual Studio con il file di soluzione fornito:

ThrottleStopPPL.sln

Configurazione del driver

Il driver ThrottleStop vulnerabile può essere estratto da ThrottleStop.exe usando Resource Hacker.

Crea e avvia il servizio driver:

sc create ThrottleStop binPath="<Path to driver>" type=kernel
sc start ThrottleStop

IOCTL vulnerabili

• 0x80006498 - Lettura arbitraria della memoria
• 0x8000649C - Scrittura arbitraria della memoria
• 0x80006430 - Lettura arbitraria delle porte
• 0x80006434 - Scrittura arbitraria delle porte

Dichiarazione di non responsabilità

Questo è un proof-of-concept solo per scopi educativi e di ricerca. Usalo responsabilmente e solo su sistemi di tua proprietà o per i quali hai esplicita autorizzazione a testare.

Crediti

Questo progetto è ispirato dall'originale ThrottleStopPoC di @fxrstor.

Riferimenti

• CVE-2025-7771
• Traduzione Virtuale-a-Fisica di Superfetch

Licenza

Solo per scopi educativi e di ricerca.