KslDump

KslDump - BMVD Microsoftの脆弱なドライバを持ち込む 重要な背景 私は2026年3月7日にこの問題をMicrosoftに報告しました。しかし、その約20日前に、ゲームハッキングコミュニティがすでにリバースエンジニアリングし、公に議論していました。 私の側としては、彼らのプロジェクトをフォローしておらず、これらのことを全く知りませんでした。また、これらが完全に別個の無関係なプロジェクトであることも明らかです。 参考文献 Avantguard ブログ記事 Defenderがすでに台所にナイフを置いているのに、なぜ自分でナイフを持ち込むのか？...

WSASS

WSASS 这是一个利用旧版 WerfaultSecure.exe 程序来转储受 PPL（Protected Process Light，受保护进程轻量级）保护的进程（如 LSASS.EXE）内存的工具。 输出为 Windows MINIDUMP 格式。 该工具会自动将"MDMP" 魔数头替换为 PNG 魔数头。 转储完成后，你需要将文件开头的 4 字节魔数恢复为原始值：0x4D, 0x44, 0x4D, 0x50 "MDMP"。 命令行语法 WSASS.exe pathtowerfaultsecure.exe targetPID 示例：WSASS.exe...

CVE-2025-61155

CVE-2025-61155 — GameDriverX64.sys中的任意进程终止 一个经过签名的内核模式反作弊驱动程序——GameDriverX64.sys，随幻塔 （Hotta Studio / Perfect World）一同提供——允许任何非特权本地用户终止任意进程 ，包括受PPL保护的杀毒软件/EDR服务。这是勒索软件操作者会利用的那种原语，并且目前正在被 Interlock 组织在野积极滥用 作为BYOVD EDR-killer。 本仓库是一个完整且可重现的拆解：安全公告、原始IDA Pro逆向工程分析、概念验证（PoC）以及现成的检测与缓解内容。 研究人员： Gabrie...

POSTDump

POSTDump LSASSプロセスのミニダンプを、検出を回避するいくつかの手法を用いて実行するための別のツールです。 POSTDumpは、ReactOSのミニダンプ機能（nanodumpなど）のC/.NET実装であり、Windows APIのMiniDumpWriteDump関数の呼び出しを回避します。 ダンプロジックコードはPOSTMinidumpプロジェクトに保存されており、自分のプロジェクトで自由に使用できます。 NanoDumpと同様に、ミニダンプを暗号化したり、無効な署名を使用したりできます。...

pySigma-backend-opensearch

Backend de OpenSearch para pySigma Este es el backend de OpenSearch para pySigma. Proporciona el paquete sigma.backends.opensearch con dos clases de backend: OpensearchLuceneBackend - Convierte reglas Sigma a sintaxis de consulta Lucene OpenSearchPPLBackend - Convierte reglas Sigma a consultas...

ColdWer

エンドポイントでの冷戦。 🥶 ColdWer ColdWer は、WerFaultSecure.exe の PPL バイパスを利用して、最新の Windows システム上の EDR/AV プロセスをフリーズし、LSASS メモリをダンプします。 root@kitploit: C O L D W E R └─┴─┴── WerFaultSecure └─┴──────── LSASS Dump └─┴──────────── Cold Freeze EDR/AV をフリーズせよ。必要なものを抽出せよ。冷たくあれ。 👤 作者 Sh3llf1r3 @0xsh3llf1r3 🙏 クレジット...

RToolZ

RToolZ 一个隐蔽的 Lsass 转储工具——可利用 ProcExp152.sys 驱动程序来转储受 PPL 保护的 Lsass。 它有何特别之处？ 不调用 MiniDump 或任何 dbghelp.lib 方法，整个转储过程由转储工具手动完成，同时通过移除不必要的 DLL 将转储体积降至最小。 方法与使用方法 OmriToolZ 提供 3 种转储 lsass 的方法： 1. 第一种方法直接使用系统调用（syscalls）获取 lsass 句柄。 2. 第二种方法，以 PROCESSCREATEPROCESS 权限请求获取 lsass 的句柄，以 lsass 的名义创建一个新进程，并...

ALPC-Enumerator

PPL 感知型 ALPC 端口枚举器 一款 Windows 用户态工具，用于枚举和分类高级本地过程调用（ALPC）端口，包括由 PPL（受保护进程轻量级，Protected Process Light）进程所拥有的端口，即使标准句柄复制在这些端口上失败。 标准枚举工具通常会完全跳过受保护或被拒绝访问的端口，从而造成盲区。本工具动态解析 ALPC 端口对象类型索引，并在端口拒绝标准复制请求时回退到 NtQueryInformationProcess，以准确对其进行分类。 实际应用场景 本工具为两类主要受众消除了标准 Windows IPC 枚举中的盲区： 威胁狩猎与 DFIR： 通过 AL...

PPLorer

PPLorer PPLorer 是一个 IDA 插件，用于将 PPL 调用解析为实际底层 PPL 函数。 安装 1. 将 ida-netnode 安装到 IDA 可以导入的位置 2. 克隆仓库，并将 /.idapro/plugins/pplorer.py 符号链接到克隆仓库中的 pplorer.py 用法 初步分析 1. 打开一个 IDB，并确保自动分析已完成 2. 从菜单选择 Edit - Plugins - PPLorer - Analyse IDB 3. 完成！ 持续使用 TL;DR 在合适的位置按 CTRL-SHIFT-X 或 右键 - Jump to PAC...

PPLmedic

PPLmedic 该工具实现了一个 Userland 漏洞利用链，用于向签名者类型为 Windows 的 PPL 注入任意代码，并提升到签名者类型 WinTcb。这些技术最初由 James Forshaw（又名 @tiraniddo）在其博客文章 Injecting Code into Windows Protected Processes using COM - Part 1 中讨论。 要了解更多有关此工具的信息，请阅读其配套博客文章： Bypassing PPL in Userland again 💣 免责声明 我会将此工具归类为 高级概念验证（Proof-of-Concept）...

PPLFault

PPLFault 作者：Gabriel Landau，来自 Elastic Security。 内容源自 Black Hat Asia 2023 上的演讲《PPLdump Is Dead. Long Live PPLdump!》。 PPLFault 2024-02 更新：微软已于 2024-02-13 修补 PPLFault。 相关讨论请参阅此帖。 该工具利用 Windows 代码完整性（Code Integrity）中的一个 TOCTOU 漏洞，以 WinTcb-Light 权限实现任意代码执行，然后转储指定进程。有关该漏洞利用的更多详情，请参阅我的 幻灯片 和/或 演讲。 示例输出...

PPLFaultDumpBOF

Esta es una obra derivada de https://github.com/gabriellandau/PPLFault. Consulte ese repositorio para toda la investigación original e información adicional Esta conversión no modifica deliberadamente los IOC de la versión original de la herramienta. PPLFaultDumpBOF Toma el PPLFault original y el...

lsawhisper-bof

LSA Whisperer BOF 一个 Cobalt Strike Beacon 对象文件 BOF 移植版，基于 LSA Whisperer——该工具通过 LSA 非受信/受信客户端接口直接与 Windows 身份验证包通信，即使启用了 PPL 和 Credential Guard，也无需访问 LSASS 进程内存。 为什么存在 LSA Whisperer 由 Evan McBroom（SpecterOps）开发，证明了你可以通过合法的 LsaCallAuthenticationPackage API 调用恢复 DPAPI 凭据密钥、提取云 SSO 令牌以及与 Kerberos...

CredsHunter

CredsHunter CVE-2026-3609 · 解説 LSASSの資格情報ダンプの概念実証で、Wellbia社のXIGNCODE3アンチチートドライバ xhunter1.sys におけるPPLをバイパスするプロセスハンドル漏洩を利用します。 このドライバは、ObOpenObjectByPointer を AccessMode = KernelMode で呼び出し、OBJKERNELHANDLE を指定しない IRPMJWRITE コマンドインターフェースを公開しています。これにより、カーネルで生成された PROCESSALLACCESS...

CVE-2026-38053---Remove-PPL

CVE-2026-38053---Remove-PPL BYOVD 移除 PPL（适用于 24H2 和 25H2） Wise System Monitor v1.5.3.127 中 IOCTL 0x12C807（METHODNEITHER）处理程序内的任意内存写入，使攻击者能够通过特制输入导致 PPL 被移除或拒绝服务（DoS）。 附加信息 测试环境：Windows 11 25H2。可能影响所有安装了该漏洞驱动版本的 Windows 版本。 PoC 中使用的 EPROCESS.Protection 偏移量：+0x87A（Windows 11 25H2）。偏移量可能因 Windows...

KDStab

KDStab 2022年6月28日 ：微软已推出补丁，阻止打开 MsMpEng.exe 令牌的句柄，因此本工具的 KillDefender 部分不再可用。Backstab 仍应有效。尚不清楚补丁 ID，可能在未打补丁的旧系统上仍可工作。已在 Win10 21H2 和 Win11 上验证。 这是一个结合了 Yaxser 的 Backstab 和 pwn1sher 的 KillDefender 的 Beacon 对象文件实现，用于 Cobalt Strike。 介绍 KDStab 是一款后渗透工具，用于击败 Windows...

forti-research

Fortinet fortimon374.sys - 通过未认证终止命令绕过 PPL 概述 Fortinet 的 fortimon374.sys 内核驱动（FortiClient 的“反漏洞利用”微过滤器）中存在一个漏洞，允许任何本地管理员通过向一个未认证的通信端口发送 8 字节消息，终止任意 进程——包括受 PPL（Protected Process Light）保护的进程，如 Windows Defender MsMpEng.exe 和 lsass.exe 。 没有缓冲区溢出。没有堆喷射。没有 ROP 链。只需 8 个字节。 漏洞详情 字段| 值 ---|--- 驱动|...

CVE-2026-68820_Mass_Exploit

CVE-2026-68820 — 大规模漏洞利用框架版。 用于通过 AFD.sys 驱动程序（辅助功能驱动程序）中的释放后使用（use-after-free）漏洞，自动进行大规模本地权限提升（LPE）至 NT AUTHORITY\SYSTEM 的自动化模块。 该漏洞利用专为企业环境设计： 支持 Windows 10/11（所有 2025–2026 版本） 绕过 PPL 保护 即使在完全修补的系统上也能稳定运行 内置 EDR/AV 绕过，通过可信进程注入 和签名随机化实现 非常适合后渗透场景（Web Shell、钓鱼攻击），用于实现持久化和横向移动。 无需重启，执行时间不到 1 秒。...

criPPLe

criPPLe Windows 内核驱动程序，用于移除进程保护（PP）和进程保护轻量级（PPL）。 本工具借助 Zero-Point Security 的 "Offensive Driver Development 课程" 开发而成 该内核驱动程序可移除指定 pid 的进程保护，它获取进程 PSPROTECTION 结构体的指针，并将这些值设置为 0。 root@kitploit: PSPROTECTION +0x000 Level : UChar +0x000 Type : Pos 0, 3 Bits +0x000 Audit : Pos 3, 1 Bit +0x000 Signer ...

DsArk64

DsArk64 DsArk64.sys 随 360 Total Security 一同发布。由 Microsoft 进行 WHQL 签名。LOLDrivers: magicsword-io/LOLDrivers308。CVE: 已申请（MITRE）。 原语 进程终止（ring 0） IOCTL 0x80863008，输入：4 字节原始 PID 驱动从内核调用 ZwOpenProcessALLACCESS + ZwTerminateProcess 此 IOCTL 无加密 绕过 PPL、EDR 自我保护、防篡改 内核读取 IOCTL 0x80863028，AES-128-CBC 加密输入...