Gargoyle

Gargoyle هو إثبات مفهوم بحثي تاريخي على ويندوز لحالة الذاكرة الزمنية. تظل نسخة Win32/x86 الأصلية هي الإثبات المعياري: يمكن ملاحظة إجراء حميد خلال نافذة عمل صغيرة، بينما تقضي منطقة الشيفرة المعنية فترة خمولها غير قابلة للتنفيذ قبل إعادة الدخول عبر المؤقت/APC.

يحافظ المستودع المُحدَّث على هذا التاريخ في صميم اهتمامه مع إضافة عروض توضيحية شقيقة لـ x64 وARM64 وARM64EC، وأداة تحقق قابلة لإعادة الإنتاج، ولغة أدلة أوضح. كما يوثّق مسار المؤقت/APC المصحَّح حول SleepEx(INFINITE, TRUE).

لا يدّعي Gargoyle الاختفاء أو تجاوز المنتجات. وهو ليس محمّلًا ولا سير عمل مشغّل ولا دليل نشر، ولا يقدّم استمرارية أو حقنًا أو وصولًا إلى بيانات الاعتماد أو شبكات أو إرشادات C2.

اقرأ التالي

• الصفحة الرئيسية للتوثيق لمسارات القرّاء وتوجيه المشروع.
• الاستخدام المسؤول لحدود النطاق والأهداف غير المقصودة.
• البدء السريع لأقصر مسار آمن للبناء والتحقق.
• المؤقت APC وSleepEx لمسار أدلة الانتظار القابل للتنبيه المصحَّح.
• مقارنة المعماريات لما يتحقق منه كل عرض توضيحي شقيق وما لا يثبته.
• نظرة عامة على التحقق للغة الأدلة المستخدمة عبر المستودع.
• مراجع البحث والسلالة لتعيين المصادر وحدود العلاقة.

المعمارية وحدود الأدلة

• Win32/x86 هو التنفيذ التاريخي المعياري.
• x64 وARM64 وARM64EC هي عروض توضيحية شقيقة، وليست بدائل للتصميم الأصلي.
• العرض الشقيق x64 ليس نقلًا مباشرًا لمسار gadget/trampoline الأصلي في mshtml.dll على x86.
• يستخدم التحقق الحي على x86/x64 صندوقي رسالة حميدين. يتحقق ذلك من التنفيذ الأولي وإعادة الدخول المتحكَّم فيها لاحقًا، لكن ليس من هوية الاستدعاء الراجع أو كل انتقالات حماية الذاكرة.
• يتحقق التحقق بلا واجهة على ARM64 وARM64EC أيضًا من عدّادات الجولات المكتملة وجولات الاستدعاء الراجع، ما يمنح أدلة أقوى على تسليم الاستدعاء الراجع.
• يمارس ARM64EC سلوك تخصيص شيفرة EC المستخدم في هذا العرض التوضيحي. وهو لا يُظهر التشغيل البيني المختلط لوحدات DLL على x64 ولا يثبت كل نمط من أنماط الشيفرة الديناميكية في ARM64EC.

البوابة المحلية

uv sync --all-groups
just ci

السياق التاريخي

• Gargoyle، بعد عقد من الزمن
• مقالة 2017 الأصلية