java - 替换 .class 文件中的 "strings"是否安全？还是重新编译比较好？

Question

主要问题是:更改 *.class 文件(java 编译类)中的一些“字符串”信息是否安全。

我正在做的是:

我正在尝试使用正则表达式在某个已编译项目中查找所有 IP 地址字符串"

find . -type f | xargs grep -E "[0-9]{3}\.[0-9]{3}\.1\.[0-9]{0,3}"

这个命令告诉我一些二进制文件与我的正则表达式匹配。它指出这个二进制文件是.jar 和.class。当我使用 vi 打开这些 .class 文件时，我可以在这些二进制垃圾中看到很多奇怪的字符以及类似“http://192.168.1.111”的内容。

我的最终任务是将所有 IP 地址(使用 sed -i)替换为 FQDN。

安全吗？或者只有反汇编所有项目并再次重新编译的工作解决方案？

---

在答案后添加。

我是这样测试的:

创建 Change.java

public class Change {

    public static String CHANGE_ME="SOME_TEST_STRING";

    public static void main (String[] argv){
        System.out.println(CHANGE_ME);
    }
}

运行它并在终端中看到这个

$ java Change
SOME_TEST_STRING

编译并运行替换:

sed -i 's/SOME_TEST_STRING/AAAAA/g' Change.class

再次运行后

$ java Change 
Exception in thread "main" java.lang.ClassFormatError: Illegal UTF8 string in constant pool in class file Change
    at java.lang.ClassLoader.defineClass1(Native Method)
    at java.lang.ClassLoader.defineClass(ClassLoader.java:760)
    at java.security.SecureClassLoader.defineClass(SecureClassLoader.java:142)
    at java.net.URLClassLoader.defineClass(URLClassLoader.java:455)
    at java.net.URLClassLoader.access$100(URLClassLoader.java:73)
    at java.net.URLClassLoader$1.run(URLClassLoader.java:367)
    at java.net.URLClassLoader$1.run(URLClassLoader.java:361)
    at java.security.AccessController.doPrivileged(Native Method)
    at java.net.URLClassLoader.findClass(URLClassLoader.java:360)
    at java.lang.ClassLoader.loadClass(ClassLoader.java:424)
    at sun.misc.Launcher$AppClassLoader.loadClass(Launcher.java:308)
    at java.lang.ClassLoader.loadClass(ClassLoader.java:357)
    at sun.launcher.LauncherHelper.checkAndLoadMain(LauncherHelper.java:495)

Answer 1

不，那不安全。它远非安全，因为它在太阳系之外。重新编译项目。

不过，您可以使用 sed 替换源代码中的 IP。这很有可能奏效。