ThrottleStopPPL

ThrottleStop 드라이버의 취약점(CVE-2025-7771)을 악용하여 Windows Server 2022에서 PPL(Protected Process Light) 보호 수준을 관리하기 위한 개념 증명 도구입니다.

개요

이 도구는 ThrottleStop 드라이버가 노출하는 임의 물리 메모리 읽기/쓰기 기능을 통해 권한 상승을 시연합니다. 커널 메모리 구조를 직접 조작하여 프로세스 보호 수준을 변경할 수 있습니다.

기능

• 임의 물리 메모리 읽기/쓰기
• Superfetch를 통한 가상 주소-물리 주소 변환
• EPROCESS 구조 조작
• 모든 프로세스의 PPL 보호 수준 변경

사용법

PPLmanager.exe -p <pid> -v <protection_level>

옵션

• -p <pid> - 수정할 프로세스 ID
• -v <protection_level> - 16진수 보호 수준 값
• -h - 도움말 메시지 표시

보호 수준

요구 사항

• Windows Server 2022(테스트 빌드)
• 관리자 권한
• ThrottleStop 드라이버 로드됨

빌드

Visual Studio와 제공된 솔루션 파일을 사용하여 빌드합니다:

ThrottleStopPPL.sln

드라이버 설정

취약한 ThrottleStop 드라이버는 Resource Hacker를 사용하여 ThrottleStop.exe에서 추출할 수 있습니다.

드라이버 서비스를 생성하고 시작합니다:

sc create ThrottleStop binPath="<Path to driver>" type=kernel
sc start ThrottleStop

취약한 IOCTL

• 0x80006498 - 임의 메모리 읽기
• 0x8000649C - 임의 메모리 쓰기
• 0x80006430 - 임의 포트 읽기
• 0x80006434 - 임의 포트 쓰기

고지 사항

이 도구는 교육 및 연구 목적의 개념 증명입니다. 책임감 있게 사용하고, 소유한 시스템 또는 명시적 테스트 허가를 받은 시스템에서만 사용하십시오.

크레딧

이 프로젝트는 원본 ThrottleStopPoC(@fxrstor 작성)에서 영감을 받았습니다.

참고 자료

• CVE-2025-7771
• Superfetch Virtual-to-Physical Translation

라이선스

교육 및 연구 목적으로만 사용하십시오.