ThrottleStopPPL

Uma ferramenta de prova de conceito para gerenciar níveis de proteção de Processo Protegido Leve (PPL) no Windows Server 2022, explorando vulnerabilidades no driver ThrottleStop (CVE-2025-7771).

Visão Geral

Esta ferramenta demonstra escalonamento de privilégios por meio de capacidades arbitrárias de leitura/escrita de memória física expostas pelo driver ThrottleStop. Ela permite modificar os níveis de proteção de processos manipulando diretamente estruturas de memória do kernel.

Recursos

• Leitura/escrita arbitrária de memória física
• Tradução de endereço virtual para físico via Superfetch
• Manipulação da estrutura EPROCESS
• Modificação do nível de proteção PPL para qualquer processo

Uso

PPLmanager.exe -p <pid> -v <protection_level>

Opções

• -p <pid> - ID do processo a modificar
• -v <protection_level> - Valor do nível de proteção em hexadecimal
• -h - Exibe a mensagem de ajuda

Níveis de Proteção

Requisitos

• Windows Server 2022 (build testado)
• Privilégios de administrador
• Driver ThrottleStop carregado

Compilação

Compile usando o Visual Studio com o arquivo de solução fornecido:

ThrottleStopPPL.sln

Configuração do Driver

O driver vulnerável ThrottleStop pode ser extraído do ThrottleStop.exe usando o Resource Hacker.

Crie e inicie o serviço do driver:

sc create ThrottleStop binPath="<Path to driver>" type=kernel
sc start ThrottleStop

IOCTLs Vulneráveis

• 0x80006498 - Leitura arbitrária de memória
• 0x8000649C - Escrita arbitrária de memória
• 0x80006430 - Leitura arbitrária de porta
• 0x80006434 - Escrita arbitrária de porta

Aviso Legal

Esta é uma prova de conceito apenas para fins educacionais e de pesquisa. Use com responsabilidade e somente em sistemas que você possui ou para os quais tenha permissão explícita para testar.

Créditos

Este projeto é inspirado no ThrottleStopPoC original, de @fxrstor.

Referências

• CVE-2025-7771
• Superfetch Virtual-to-Physical Translation

Licença

Apenas para fins educacionais e de pesquisa.