Gargoyle

Gargoyle — это исторический исследовательский proof of concept для Windows, посвящённый временному состоянию памяти. Исходная реализация Win32/x86 остаётся каноническим доказательством: безвредное действие наблюдаемо в течение небольшого рабочего окна, тогда как соответствующий участок кода проводит свой период покоя в неисполняемом состоянии до повторного входа через таймер/APC.

Обновлённый репозиторий сохраняет эту историю в центре внимания, добавляя при этом родственные демонстрации для x64, ARM64 и ARM64EC, воспроизводимый стенд валидации и более ясный язык описания доказательств. Он также документирует исправленный путь таймера/APC вокруг SleepEx(INFINITE, TRUE).

Gargoyle не заявляет о невидимости или обходе продуктов. Это не загрузчик, не рабочий процесс оператора и не руководство по развёртыванию, и он не предоставляет указаний по персистентности, инъекциям, доступу к учётным данным, сетевому взаимодействию или C2.

Что читать далее

• Домашняя страница документации — пути для читателей и ориентация в проекте.
• Ответственное использование — границы области применения и нецели.
• Быстрый старт — кратчайший безопасный путь сборки и валидации.
• Таймер APC и SleepEx — исправленный путь доказательства через alertable-ожидание.
• Сравнение архитектур — что подтверждает и что не доказывает каждая родственная демонстрация.
• Обзор валидации — язык описания доказательств, используемый во всём репозитории.
• Исследовательские ссылки и происхождение — сопоставление источников и границы взаимосвязей.

Архитектура и границы доказательств

• Win32/x86 — каноническая историческая реализация.
• x64, ARM64 и ARM64EC — родственные демонстрации, а не замена исходного дизайна.
• Родственная реализация x64 не является прямым портом оригинального пути гаджета/трамплина x86 mshtml.dll.
• Живая валидация x86/x64 использует два безвредных MessageBox. Это подтверждает начальное выполнение и последующий контролируемый повторный вход, но не идентичность обратного вызова и не каждый переход защиты памяти.
• Безголовая валидация ARM64 и ARM64EC также проверяет счётчики завершённых раундов и раундов обратных вызовов, что даёт более сильные доказательства доставки обратных вызовов.
• ARM64EC задействует поведение выделения EC-кода, используемое в этой демо. Он не демонстрирует смешанное взаимодействие x64 DLL и не доказывает все шаблоны динамического кода ARM64EC.

Локальная проверка

uv sync --all-groups
just ci

Исторический контекст

• Gargoyle, десять лет спустя
• Оригинальная статья 2017 года