JAVA 类文件保护分析论文
时间:2022-10-11 10:30:00
导语:JAVA 类文件保护分析论文一文来源于网友上传,不代表本站观点,若需要原创文章可咨询客服老师,欢迎参考。
【摘要】:由于Java语言面向对象和编译成中间代码执行的特点,其在抗反编译和反盗版方面显得尤其脆弱。本文针对Java软件的特点,运用多种方法,综合设计出一个保护Java类文件的方法。
关键词:Class;加密;密钥;代码混淆
1.引言
目前,Java编程语言的应用在全世界范围正流行,它广泛的应用在Internet的数据库、多媒体、CGI及动态网页的制作方面。1999年在美国对Java程序员的需求量首次超过C++。经调查统计,Java语言应用在软件领域占领着举足轻重的地位,为人类科技文明进步奠定了重要基础。然而,Java语言却存在着巨大的安全隐患。Java是一种跨平台的、解释型语言。第一,Java源代码编译中间“字节码”存储于Class文件中。Class文件是一种字节码形式的中间代码,该字节码中包括了很多源代码的信息,例如变量名、方法名等;第二,由于跨平台的需求,Java的指令集比较简单通用,较容易得出程序的语义信息;第三,Java编译器将每一个类编译成一个单独的文件,这也简化了反编译的工作;第四,Java的Class文件中,仍然保留所有的方法和变量的名称,可以通过这些名称来访问变量和方法,这些符号往往带有许多语义信息。因此,Java程序的这些特点,很容易对不经过处理的Java程序进行反编译。目前,市场上有许多优秀的Java反编译工具,能够反编译出非常接近源代码的程序。所以,对开发人员来说,如何保护Java程序就变成一个非常重要的任务。
2.Java类文件的安全威胁
2.1Java的编译
开发Java应用程序首先是使用编辑工具编写Java的源代码,然后使用编译器编译成虚拟机可执行的Class类文件。编译后生成的类文件是一种有格式的中间代码——字节码文件,不能在本地机器上独立运行,只能在Java虚拟机里解释执行。Java编译器不对变量和方法等符号的引用转换为数值引用,也不确定程序执行过程中的内存布局,而是将这些符号的引用信息保留在类文件中,由解释器在运行过程中创建内存布局,然后再通过查找表来确定一个变量或方法所在的地址[1]。
从Java类文件的结构及其实际数据可知Java类文件保留了源代码文件的大部分信息,如所有的变量和方法等信息。正是由于这个特点,只要在各个平台上实现了各自的Java虚拟机,不用修改Java应用程序的源代码就可以在各个平台上运行,真正做到跨平台的特性,这也是Java能够迅速流行起来的重要原因。
2.2Java的反编译
反编译是一个将目标代码转换成源代码的过程[2]。而目标代码是一种用语言表示的代码,这种语言能通过实机或虚拟机直接执行。从本质上说,他需要根据小规模、低层次的行为来推断大规模、高层次的行为。因此,反编译目标代码并不容易。
在JDK中,有一个反编译器javap[3],利用该工具可以对Java类文件进行反编译。经过
该工具反汇编后得到的结果并不是源代码,但是使用javap进行反编译的Java类文件可以得到成员变量、方法、行号以及局部变量名等信息[4]。在javap工具的基础上,一些反编译工具如Mocha,WinDis,DjDecompiler等工具可反编译出和源代码几乎一摸一样的代码。
3.常用Java类文件保护方法
由于Java字节码的抽象级别较高,容易被反编译,所以就有了多种防止Java字节码被反编译的方法。
隔离Java程序:最简单的方法就是让用户不能够访问到JavaClass程序,这种方法是最根本的方法,具体实现有多种方式。
代码混淆:这种方法对Class文件进行重新组织和处理,使得处理前后的代码具有相同的语义,被混淆后的代码很难被反编译。
转换成本地代码:本地代码难以被反编译,开发人员可以选择将整个应用程序或关键模块转换成本地代码。如果仅仅转换关键模块,在使用这些模块时,需调用JNI技术,这将牺
牲Java的跨平台特性
加密Class文件:为了防止Class文件被直接反编译,可以将一些关键的Class文件加密
[5],例如对密钥、加密算法、注册码、序列号管理相关的类等。在使用这些被加密的类之前先解密,然后再将其装载到JVM中。
对比上述几种方法,都存在其自身的优缺点。隔离Java程序只能适合网络环境的客户机/服务器结构或者分布式的环境,对单机运行的程序就无法隔离,而且Java程序需要使用安全机制保护服务器开放接口的使用,服务器的安全成了整个系统安全的焦点。代码本地化,对于不同的平台,需要维护不同版本的本地代码,这将加重软件支持和维护的工作。对Class文件进行加密,在使用时再进行解密,同时将关键加密代码部分进行代码混淆,这样经过双重处理后,代码的安全性[6]提高了很多,该方法也是本文研究的重点。
4.Class文件加密技术
Java生成的Class文件大量暴露在客户端,利用现在的反编译工具可轻易的获取源代码,下面将讲叙如何有效的保护Class文件。
第一,读取本工程的所有待加密Class文件,并保存到byte型数组中;
publicstaticbyte[]symmetricEncrypt(byte[]key,byte[]classData){…};方法对读取到的所
有Class文件进行加密,key为用来加密的密钥,classData为所读到的待加密Class文件,返回结果为加密后的Class文件,然后将其写回原来的Class中,保证结构的完整性。
第二,加密过的Class文件在使用之前需先对其进行解密。
Java虚拟机有默认的类加载器,但是若要它根据用户提供的密码解密代码就难以做到,此时需要通过自定义ClassLoader类来完成加密类的装载。自定义的ClassLoader首先找到被加密过的类,然后进行解密,最后将解密后的类装载到JVM中。这里我的自定义ClassLoader如下:
ClassLoaderappLoader=newEncryptedClassLoader(EncryptedClassLoader.class.getClassLoader(),newFile(args[1]));
Thread.currentThread().setContextClassLoader(appLoader);
finalClassapp=appLoader.loadClass(args[2]);
其中参数args[1]传入的是方法所在的工程名,args[2]为主函数所在的类名。
在加载类后,系统的默认findClass()并未对加载的类作任何处理,由于Class文件已被
加密过,此时若运用系统方法findClass()则会抛出ClassNotFoundException()的异常,所以这里需要重构我自己的findClass()方法:
protectedClassfindClass(finalStringname)throwsClassNotFoundException{
finalStringclassResource=name.replace(''''.'''',''''/'''')+".class";finalURLclassURL=getResource(classResource);InputStreamin=null;
Filefile=newFile(classURL.getPath());
byte[]classBytes=newbyte[(int)file.length()];FileInputStreamfin=newFileInputStream(file);fin.read(classBytes);
……
classBytes=decrypt(classBytes);//解密
……
returndefineClass(name,classBytes,0,classBytes.length);
在这个函数中,我运用decrypt(classBytes);方法对所有的加密Class文件进行解密,并在其中调用方法publicstaticbyte[]symmetricEncrypto(byte[]key,byte[]byteSource){}将解密后的Class文件保存直原文件处,保持文件目录级别不变,key为解密密钥,byteSource为待
解密的byte型文件。至此,已完成对类文件的加密和解密,经过测试,功能已实现,Class
文件无法被反编译。但为进一步加强程序的安全性,我做了如下的处理。
第三,对包含有关键信息的方法进行代码混淆处理[7]。在上述内容中,方法symmetricEncrypt(byte[]key,byte[]classData)包含有加密所用到的算法,自定义的ClassLoader包含有关键信息,findClass(finalStringname)以及decrypt(classBytes);中包含有解密信息,由于它们本身不是被加密的,因此它可能成为黑客最先攻击的目标。如果相关的解密密钥和算法被攻克,那么被加密的类也很容易被解密。所以这里我对这些关键代码进行代码混淆。代码混淆是对代码进行重新组织和处理,使得处理后的代码与处理前的代码完成相同的功能,但是混淆后的代码很难被反编译。代码混淆有符号混淆、数据混淆、控制混淆和预防性混淆。这里我采用数据混淆对关键代码进行处理。
publicstaticbyte[]symmetricEncrypt(byte[]key,byte[]classData){…};处理如下:
//rawKey,byteSource为symmetricEncrypt(byte[],byte[])的待传入参数
byte[]tempkey=null;
tempkey[0]=0x00;
for(inti=0;i<key.length;i++)
tempkey[i+1]=key[i];
tempkey[key.length+1]=0x11;
byte[]source=null;
source[0]=0x00;
for(inti=0;i<classData.length;i++)source[i+1]=classData[i];source[classData.length+1]=0x11;
publicstaticbyte[]symmetricEncrypt(byte[]tempkey,byte[]source){
//取tempkey和source的除第一个和最后一个byte的值
......
}
对publicClassloadClass(finalStringtempname,finalbooleanresolve){}方法进行处理:
Stringtempname="abcdefg"+name;//name:loadClass的第一个待传入参数
publicClassloadClass(finalStringtempname,finalbooleanresolve){Stringname=tempname.substring(11,tempname.length());
......
}
对findClass(Stringname){}方法进行处理:
//name为findClass(Stringname)待传入参数,先做如下处理
addname=name+"01357924680";
protectedClassfindClass(finalStringaddname){
name=addname.substring(0,addname.length()-11);
......//fingClass其他工作
}
intlen;//len=待传文件file的长度:file.length()
byte[]classBytes=newbyte[(int)len];classBytes[len+1]=0x00;classBytes[len+2]=0x11;
//classBytes作为decrypt(byte[]classBytes)的传入参数
privatestaticbyte[]decrypt(finalbyte[]classBytes){
byte[]data=newbyte[(int)classByte.lengt-2];
for(inti=0;i<data.length;i++)
data[i]=classBytes[i];
......//解密工作
}
5.结论
本文介绍了我针对Java类文件设计的保护方法,在众多方法中,我选择了对Class文件进行加密这一思想,加密之后又对包含重要信息的方法进行代码混淆处理,这样就对文件起到了双重保护的作用。经过在Windows平台上测试,效果良好,难以反编译,起到了很好的保护作用。
- 上一篇:外国出版产业特色研究论文
- 下一篇:邮政系统优秀职工事迹材料