ps-ppl-bypass

Process Explorer 漏洞驱动程序 PPL 绕过 众所周知，SysInternals Process Explorer 驱动（PSEXP152.sys）的旧版本（17.x 之前）存在漏洞，可被滥用来打开对 PPL 进程的完全访问进程句柄（IOCTL：0x8335003c），而较新版本（17.x 及以上）仍然存在漏洞，并且能够通过不同的驱动函数（IOCTL：0x83350014）实现相同效果。 此 IOCTL 函数可复制任意句柄，并且在驱动版本 17.00 中已打补丁以过滤系统进程和任何受保护进程（PP/PPL）。但该函数存在一个重大疏漏，因为仍然可以从你自己的非 PPL...