ALPC-Enumerator

PPL 感知型 ALPC 端口枚举器 一款 Windows 用户态工具，用于枚举和分类高级本地过程调用（ALPC）端口，包括由 PPL（受保护进程轻量级，Protected Process Light）进程所拥有的端口，即使标准句柄复制在这些端口上失败。 标准枚举工具通常会完全跳过受保护或被拒绝访问的端口，从而造成盲区。本工具动态解析 ALPC 端口对象类型索引，并在端口拒绝标准复制请求时回退到 NtQueryInformationProcess，以准确对其进行分类。 实际应用场景 本工具为两类主要受众消除了标准 Windows IPC 枚举中的盲区： 威胁狩猎与 DFIR： 通过 AL...

PPLFault

PPLFault 作者：Gabriel Landau，来自 Elastic Security。 内容源自 Black Hat Asia 2023 上的演讲《PPLdump Is Dead. Long Live PPLdump!》。 PPLFault 2024-02 更新：微软已于 2024-02-13 修补 PPLFault。 相关讨论请参阅此帖。 该工具利用 Windows 代码完整性（Code Integrity）中的一个 TOCTOU 漏洞，以 WinTcb-Light 权限实现任意代码执行，然后转储指定进程。有关该漏洞利用的更多详情，请参阅我的 幻灯片 和/或 演讲。 示例输出...

CVE-2026-15430 CVE-2026-15430

Improper access control in the IRPMJWRITE command interface in Wellbia XIGNCODE3 xhunter2.sys, version 2026.6.1.192, allows a local, unprivileged attacker to achieve local privilege escalation to NT AUTHORITY\SYSTEM, extract credentials from PPL-protected lsass.exe, and terminate PPL-protected...