此工具允许您列出受保护进程、获取特定进程的保护级别或设置任意保护级别。有关更多信息，您可以阅读这篇博文：调试受保护进程。
您可以在此处获取 MSI 驱动程序 RTCore64.sys 的副本：PPLKiller/driver。
免责声明： 毋庸置疑，您绝不应在主机上安装此驱动程序。请使用虚拟机！
sc.exe create RTCore64 type= kernel start= auto binPath= C:\PATH\TO\RTCore64.sys DisplayName= "Micro - Star MSI Afterburner"
net start RTCore64
列出受保护进程。
PPLcontrol.exe list
获取特定进程的保护级别。
PPLcontrol.exe get 1234
设置任意保护级别。
PPLcontrol.exe set 1234 PPL WinTcb
使用任意保护级别保护未受保护的进程。这也会自动相应地调整签名级别。
PPLcontrol.exe protect 1234 PPL WinTcb
取消保护受保护进程。这将把保护级别设置为 0（即 None），并将 EXE/DLL 签名级别设置为 0（即 Unchecked）。
PPLcontrol.exe unprotect 1234
net stop RTCore64
sc.exe delete RTCore64
WinDbg 只需打开目标进程，因此您可以使用 PPLcontrol 为您的 windbg.exe 进程设置任意保护级别。
windbg.exe 进程的 PID。C:\Temp>tasklist | findstr /i windbg
windbg.exe 1232 Console 1 24,840 K
C:\Temp>PPLcontrol.exe protect 1232 PPL WinTcb
[+] The Protection 'PPL-WinTcb' was set on the process with PID 1232, previous protection was: 'None-None'.
[+] The Signature level 'WindowsTcb' and the Section signature level 'Windows' were set on the process with PID 1232.
除了打开目标进程外，API Monitor 还会向其中注入一个 DLL。因此，仅对您的 apimonitor.exe 进程设置任意保护级别是不够的。由于注入的 DLL 未针对此目的进行正确签名，目标进程的节签名标志可能会阻止其加载。但是，您可以暂时禁用目标进程的保护，开始监视，然后立即恢复保护。
Failed to load module in target process - Error: 577, Windows cannot verify the digital signature for this file. A recent hardware or software change might have installed a file that is signed incorrectly or damaged, or that might be malicious software from an unknown source.
C:\Temp>tasklist | findstr /i target
target.exe 1337 Services 1 14,160 K
C:\Temp>PPLcontrol.exe get 1337
[+] The process with PID 1337 is a PPL with the Signer type 'WinTcb' (6).
C:\Temp>PPLcontrol.exe unprotect 1337
[+] The process with PID 1337 is no longer a PP(L).
C:\Temp>PPLcontrol.exe protect 1337 PPL WinTcb
[+] The Protection 'PPL-WinTcb' was set on the process with PID 1337, previous protection was: 'None-None'.
[+] The Signature level 'WindowsTcb' and the Section signature level 'Windows' were set on the process with PID 1337.
Release/x64（不支持 x86，并且可能永远都不会支持）。