ThrottleStopPPL

Windows Server 2022 上の Protected Process Light (PPL) 保護レベルを管理するための概念実証ツールです。ThrottleStop ドライバの脆弱性（CVE-2025-7771）を悪用します。

概要

このツールは、ThrottleStop ドライバによって公開された任意の物理メモリ読み取り/書き込み機能を介した特権昇格を示します。カーネルメモリ構造を直接操作することで、プロセス保護レベルの変更を可能にします。

特徴

• 任意の物理メモリ読み取り/書き込み
• Superfetch を介した仮想アドレスから物理アドレスへの変換
• EPROCESS 構造の操作
• 任意のプロセスの PPL 保護レベルの変更

使用法

PPLmanager.exe -p <pid> -v <protection_level>

オプション

• -p <pid> - 変更するプロセス ID
• -v <protection_level> - 保護レベルの値（16進数）
• -h - ヘルプメッセージを表示

保護レベル

必要条件

• Windows Server 2022（テスト済みビルド）
• 管理者権限
• ロードされた ThrottleStop ドライバ

ビルド

提供されたソリューションファイルを使用して Visual Studio でビルドします：

ThrottleStopPPL.sln

ドライバのセットアップ

脆弱性のある ThrottleStop ドライバは、Resource Hacker を使用して ThrottleStop.exe から抽出できます。

ドライバサービスを作成して開始します：

sc create ThrottleStop binPath="<Path to driver>" type=kernel
sc start ThrottleStop

脆弱な IOCTL

• 0x80006498 - 任意のメモリ読み取り
• 0x8000649C - 任意のメモリ書き込み
• 0x80006430 - 任意のポート読み取り
• 0x80006434 - 任意のポート書き込み

免責事項

これは教育および研究目的のための概念実証です。責任を持って使用し、自分が所有するシステムまたは明示的な許可を得たシステムでのみ使用してください。

クレジット

このプロジェクトは、@fxrstor による元の ThrottleStopPoC に触発されています。

参考文献

• CVE-2025-7771
• Superfetch 仮想-物理アドレス変換

ライセンス

教育および研究目的のみに使用してください。