POSTDump

POSTDump LSASSプロセスのミニダンプを、検出を回避するいくつかの手法を用いて実行するための別のツールです。 POSTDumpは、ReactOSのミニダンプ機能（nanodumpなど）のC/.NET実装であり、Windows APIのMiniDumpWriteDump関数の呼び出しを回避します。 ダンプロジックコードはPOSTMinidumpプロジェクトに保存されており、自分のプロジェクトで自由に使用できます。 NanoDumpと同様に、ミニダンプを暗号化したり、無効な署名を使用したりできます。...

breakcyserver

breakcyserver 完整文章见：https://waawaa.github.io/ 1. 通过关闭 EDR 进程的所有已打开句柄来终止 EDR 服务。 2. 通过滥用 Process Explorer 驱动程序的某些功能绕过 PPL。 3. 通过滥用 Process Explorer 驱动功能绕过 ObRegisterCallbacks 实现。 附注：新增了无需 ProcessExplorer 即可手动加载驱动的实现。 LoadDriver.exe /LOAD LoadDriver.exe /UNLOAD 规避警告： EDR 和 XDR 可能会注意到未签名的 EXE...

RIPPL

RIPPL 无需驱动程序即可操纵受 PPL 保护的进程 该工具实现了一种 用户态 漏洞利用技术，用于操纵 Windows 受 PPL 保护的进程。该技术最初由 James Forshaw（又称 @tiraniddo）和 Clément Labro（又称 @itm4n）在以下博文中探讨。 James Forshaw 的博文 ：Windows Exploitation Tricks Clément Labro 的博文 第 1 部分 ：Do You Really Know About LSA Protection RunAsPPL? Clément Labro 的博文 第 2 部分...

CVE-2025-61155

CVE-2025-61155 — GameDriverX64.sys中的任意进程终止 一个经过签名的内核模式反作弊驱动程序——GameDriverX64.sys，随幻塔 （Hotta Studio / Perfect World）一同提供——允许任何非特权本地用户终止任意进程 ，包括受PPL保护的杀毒软件/EDR服务。这是勒索软件操作者会利用的那种原语，并且目前正在被 Interlock 组织在野积极滥用 作为BYOVD EDR-killer。 本仓库是一个完整且可重现的拆解：安全公告、原始IDA Pro逆向工程分析、概念验证（PoC）以及现成的检测与缓解内容。 研究人员： Gabrie...

cve-2026-0828

CVE-2026-0828 — Safetica ProcessMonitorDriver.sys BYOVD PoC Safetica DLP 内核驱动程序（ProcessMonitorDriver.sys）暴露了一个未经认证的 IOCTL，允许任何用户态调用者通过内核上下文中的 ZwTerminateProcess 终止任意进程，从而绕过 PPL（轻量级受保护进程）保护。 CVSS： 8.8（高危）· 类型： BYOVD、LPE · 平台： Windows x64 漏洞 IOCTL 0xB822200C 对应的 IRPMJDEVICECONTROL 处理程序以...

KslDump

KslDump - BMVD（自带微软易受攻击驱动程序） 重要背景 我于2026年3月7日 向微软报告了该问题。然而，大约20天前，游戏破解社区已经逆向并公开讨论了它。就我而言，我并未关注他们的项目，对此毫不知情。很明显，这是两个完全独立且不相关的项目。 参考资料 Avantguard 博客文章 既然 Defender 已经留了一把刀在厨房，何必自备刀具？ KslDump 仅使用微软签名的组件从 PPL 保护的 LSASS 中提取凭据。无需部署漏洞，无需加载驱动程序。整个攻击链随 Windows Defender 预装。微软通过将 MmCopyMemory...

lsawhisper-bof

LSA Whisperer BOF 一个 Cobalt Strike Beacon 对象文件 BOF 移植版，基于 LSA Whisperer——该工具通过 LSA 非受信/受信客户端接口直接与 Windows 身份验证包通信，即使启用了 PPL 和 Credential Guard，也无需访问 LSASS 进程内存。 为什么存在 LSA Whisperer 由 Evan McBroom（SpecterOps）开发，证明了你可以通过合法的 LsaCallAuthenticationPackage API 调用恢复 DPAPI 凭据密钥、提取云 SSO 令牌以及与 Kerberos...

ColdWer

在你的端点上打一场冷战。 🥶 ColdWer ColdWer 利用 WerFaultSecure.exe PPL 绕过技术，在现代 Windows 系统上冻结 EDR/AV 进程并转储 LSASS 内存。 root@kitploit: C O L D W E R └─┴─┴── WerFaultSecure └─┴──────── LSASS 转储 └─┴──────────── 冷（冻结） 冻结你的 EDR/AV。提取你需要的信息。保持冷静。 👤 作者 Sh3llf1r3 @0xsh3llf1r3 🙏 致谢 本项目基于 TwoSevenOneT @TwoSevenOneT 的研究成果：...

RToolZ

RToolZ 一个隐蔽的 Lsass 转储工具——可利用 ProcExp152.sys 驱动程序来转储受 PPL 保护的 Lsass。 它有何特别之处？ 不调用 MiniDump 或任何 dbghelp.lib 方法，整个转储过程由转储工具手动完成，同时通过移除不必要的 DLL 将转储体积降至最小。 方法与使用方法 OmriToolZ 提供 3 种转储 lsass 的方法： 1. 第一种方法直接使用系统调用（syscalls）获取 lsass 句柄。 2. 第二种方法，以 PROCESSCREATEPROCESS 权限请求获取 lsass 的句柄，以 lsass 的名义创建一个新进程，并...

PPLmedic

PPLmedic 该工具实现了一个 Userland 漏洞利用链，用于向签名者类型为 Windows 的 PPL 注入任意代码，并提升到签名者类型 WinTcb。这些技术最初由 James Forshaw（又名 @tiraniddo）在其博客文章 Injecting Code into Windows Protected Processes using COM - Part 1 中讨论。 要了解更多有关此工具的信息，请阅读其配套博客文章： Bypassing PPL in Userland again 💣 免责声明 我会将此工具归类为 高级概念验证（Proof-of-Concept）...