Gargoyle

Gargoyle 是一个关于时间性内存状态的 Windows 历史研究概念验证。最初的 Win32/x86 实现仍是权威性证明：在一个小的工作窗口内可观察到良性动作，而相关代码区域在其休眠间隔内保持不可执行，随后由定时器/APC 重新进入。

更新后的仓库以这段历史为核心，同时新增了同源的 x64、ARM64 和 ARM64EC 演示、可复现的验证工具链，以及更清晰的证据表述。它还记录了围绕 SleepEx(INFINITE, TRUE) 的修正后定时器/APC 路径。

Gargoyle 并不声称具备不可见性或可绕过产品。它不是加载器、操作员工作流或部署指南，也不提供持久化、注入、凭据访问、网络或 C2 指导。

接下来阅读

• 文档主页：了解读者路径与项目定位。
• 负责任使用：了解范围边界与非目标。
• 快速开始：最短的安全构建与验证路径。
• 定时器 APC 与 SleepEx：修正后的可警报等待证据路径。
• 架构比较：了解每个同源演示验证了什么、未证明什么。
• 验证概览：了解整个仓库使用的证据表述。
• 研究参考文献 与 源流：了解来源映射与关系边界。

架构与证据边界

• Win32/x86 是权威的历史实现。
• x64、ARM64 和 ARM64EC 是同源演示，并非对原始设计的替代。
• x64 同源演示并非对原始 x86 mshtml.dll gadget/trampoline 路径的直接移植。
• x86/x64 实机验证使用两个良性 MessageBox。这验证了初始执行和后续受控重新进入，但不验证回调身份或每一次内存保护转换。
• ARM64 和 ARM64EC 无头验证还会检查已完成轮次和回调轮次计数器，从而提供更强的回调投递证据。
• ARM64EC 演练了本演示所使用的 EC 代码分配行为。它不演示混合 x64 DLL 互操作，也不证明所有 ARM64EC 动态代码模式。

本地门禁

uv sync --all-groups
just ci

历史背景

• Gargoyle，十年之后
• 2017 年原文