Gargoyle

Gargoyle은 시간적 메모리 상태에 관한 역사적인 Windows 연구 개념 증명입니다. 원래의 Win32/x86 구현이 여전히 정본 증명으로 남아 있습니다. 즉, 무해한 동작은 짧은 작업 창 동안 관찰 가능하지만, 관련 코드 영역은 타이머/APC 재진입 전까지 휴면 구간 동안 비실행 상태로 유지됩니다.

새로워진 저장소는 그 역사를 중심에 두면서도, 형제 격인 x64, ARM64, ARM64EC 시연과 재현 가능한 검증 하네스, 그리고 더 명확한 증거 언어를 추가합니다. 또한 SleepEx(INFINITE, TRUE) 주변의 수정된 타이머/APC 경로를 문서화합니다.

Gargoyle은 은폐성이나 제품 우회를 주장하지 않습니다. 이는 로더, 운영자 워크플로, 또는 배포 가이드가 아니며, 지속성, 인젝션, 자격 증명 접근, 네트워킹, 또는 C2 지침을 제공하지 않습니다.

다음으로 읽을 문서

• 독자 경로와 프로젝트 방향을 위한 문서 홈.
• 범위 경계와 비목표를 위한 책임 있는 사용.
• 가장 짧고 안전한 빌드 및 검증 경로를 위한 빠른 시작.
• 수정된 경고 가능 대기 증거 경로를 위한 타이머 APC와 SleepEx.
• 각 형제 시연이 무엇을 검증하고 무엇을 증명하지 않는지에 대한 아키텍처 비교.
• 저장소 전반에서 사용되는 증거 언어에 대한 검증 개요.
• 소스 매핑과 관계 경계를 위한 연구 참고 문헌 및 계보.

아키텍처 및 증거 경계

• Win32/x86은 정본 역사적 구현입니다.
• x64, ARM64, ARM64EC는 형제 시연이며, 원래 설계를 대체하지 않습니다.
• x64 형제는 원래 x86 mshtml.dll 가젯/트램펄린 경로의 직접적인 포팅이 아닙니다.
• x86/x64 라이브 검증은 두 개의 무해한 MessageBox를 사용합니다. 이는 초기 실행과 이후의 통제된 재진입을 검증하지만, 콜백 정체성이나 모든 메모리 보호 전환을 검증하지는 않습니다.
• ARM64 및 ARM64EC 헤드리스 검증은 완료된 라운드 및 콜백 라운드 카운터도 확인하여 더 강력한 콜백 전달 증거를 제공합니다.
• ARM64EC는 이 데모에서 사용되는 EC 코드 할당 동작을 실행합니다. 이는 혼합 x64 DLL 상호 운용을 시연하거나 모든 ARM64EC 동적 코드 패턴을 증명하지는 않습니다.

로컬 게이트

uv sync --all-groups
just ci

역사적 맥락

• Gargoyle, 10년 후
• 2017년 원문 기사