███████╗██╗ ██╗ █████╗ ██████╗ ██████╗ ██╗ ██╗ ██████╗ ██████╗ ██╗ ██╗██╔════╝██║ ██║██╔══██╗██╔══██╗██╔═══██╗██║ ██║ ██╔══██╗██╔═══██╗╚██╗██╔╝███████╗███████║███████║██║ ██║██║ ██║██║ █╗ ██║█████╗██████╔╝██║ ██║ ╚███╔╝ ╚════██║██╔══██║██╔══██║██║ ██║██║ ██║██║███╗██║╚════╝██╔══██╗██║ ██║ ██╔██╗ ███████║██║ ██║██║ ██║██████╔╝╚██████╔╝╚███╔███╔╝ ██████╔╝╚██████╔╝██╔╝ ██╗╚══════╝╚═╝ ╚═╝╚═╝ ╚═╝╚═════╝ ╚═════╝ ╚══╝╚══╝ ╚═════╝ ╚═════╝ ╚═╝ ╚═╝ Lightweight Hypervisor-Based Kernel Protector

　　Shadow-box使用最先进的虚拟化技术的操作系统安全监视框架。Shadow-box拥有一个受shadow play启发的新颖架构。我们从头开始构建了Shadow-box，它主要由轻量级管理程序和安全监视程序组成。

　　轻量级管理程序Light-box可有效隔离客户机计算机内的操作系统，并将客户机的静态和动态内核对象投射到主机中，以便主机中的安全监视器可以调查投射映像。安全监视器Shadow-Watcher将事件监视器放在静态内核元素上，并测试动态内核元素的安全性。

　　Shadow-box操纵从客户机物理地址到主机物理地址的地址转换，以排除对主机和管理程序空间的未授权访问shadowrocket香港节点。通过这种方式，即使操作系统受到安全威胁，Shadow-box也可以正确地内省（introspect）客户机操作系统并协调所有访问。

　　我们开发了一个安全监视框架Shadow-box，通过过滤掉对重要内核元素的未授权访问，并定期保护内核元素的完整性来保障操作系统的安全。Shadow-box依赖于它的两个子部分：轻量级管理程序和安全监视器。轻量级管理程序Light-box可以高效地隔离客户机计算机内的操作系统，并将客户机的静态和动态内核对象投射到主机中，以便主机中的安全监视器可以调查投影映像。安全监视器Shadow-watcher将事件监视器放在静态内核元素上，并测试动态内核元素的安全性。在主机内运行，即使在客户机操作系统被破坏的情况下，也能在不受恶意干扰的测试客户机的安全性。

　　因为Shadow-box保护内核的代码区域，所以它会与运行时内核修补功能（CONFIG_JUMP_LABEL）冲突。因此，如果你的内核使用运行时内核修补程序功能，则应删除该功能。想要删除它，你需要设置内核构建环境，更改内核选项并安装。过程如下：

　　Shadow-box应定位数据结构和函数以进行内核的完整性验证。这些符号可以通过使用kallsyms找到，但所有符号都不会暴露于kallsyms。因此，Shadow-box使用System.map文件嵌入符号和内核版本。关于如何在Shadow-box中添加符号和内核版本如下：

　　内核符号准备就绪后，键入“make”命令构建Shadow-box。然后你可以在同一目录中找到shadow_box.ko。

　　Shadow-box是可加载的内核模块（LKM）。因此，当你需要保护时，可以使用insmod命令将shadow-box.ko模块加载到内核中。

　　Shadow-box保护来自rootkit的内核代码，只读数据，系统表，权限寄存器等。因此，如果你想使用Shadow-box，则应禁用以下某些功能。

　　Shadow-box已被用于保护Gooroom平台的内核，这是一个开源项目。这项工作得到了韩国政府（MSIP）（No.R0236-15-1006，开源软件推广）信息与通信技术促进研究所（IITP）的资助。