- html - 出于某种原因,IE8 对我的 Sass 文件中继承的 html5 CSS 不友好?
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景?
我们可以完全从Java字节码对源代码进行反向工程吗?为什么在Java中允许使用此功能,以及Java反编译器对混淆器的成功程度如何?
最佳答案
我知道这个问题很老,但是我一直在寻找可靠的答案,直到一无所获。
因此,在这篇文章中,我总结了混淆J2EE JAR的一些工作。
似乎到2014年(撰写本文时),没有太多选择。
如果您稍后阅读此评论,则可能已更改或解决了问题。
当我想到为什么时,我开始感觉到整个混淆工作给人一种错误的安全感。不要误会我的意思。它确实增加了一定程度的安全性,但是没有我希望的那么多。
我将尝试对自己发现的内容进行预览。我的建议是个人的,其他人可能不同意。
因此,首先开始:Java中的混淆是获取字节码并使其在保持其原始功能的同时使其可读性降低的过程(当然,使用反编译器)。Java作为互操作者,必须做的事情是使字节码暴露在外。您运行混淆器是为了安全起见,以防类文件落入错误的人手中。混淆的结果是一个反向映射文件和带有混淆类的JAR。当然,反向映射文件用于执行堆栈跟踪读取(也称为重新跟踪)或将字节码恢复为其原始形状。混淆类的运行时性能影响不应超过10%(但这实际上取决于您在代码中执行的操作)。
但是有一个很大的“but”。混淆会扰乱您的代码,但不会使其受到黑客的攻击。记住,您只花时间,坚定的黑客将找到一种方法将您的字节码反向工程为纯算法。
恕我直言:隐藏敏感代码的最佳方法是将其淹没在一大堆毫无意义的代码中。
一些黑客会尝试(通过代码注入)修改您的字节码,以帮助他们实现目标。一些混淆器提供了更高级别的JAR强化,使其难以修改。
反混淆器和反编译器:我最喜欢的Java反编译器是JD-GUI。但是,当涉及去混淆器时,我发现市场相当空缺。大多数工具都要求您提供提示(使用了哪种混淆工具来加密源JAR),但它们中的任何一个都无法真正提供结果(其中一些在尝试解密JAR时甚至崩溃了)。它们是维护成本低的开源项目。我什至找不到付费的应用程序进行像样的模糊处理。如果你知道什么,请启发我。
免费解决方案
有开源的免费混淆器,它们通常简单地重命名类/方法名称,使其成为一个字母方法(即从printUsage(String params)到a(String p))。
正如此处所暗示的那样,它们甚至可能剥离调试信息以使其变得更加困难。 (调试信息保存在每个Java方法字节码的末尾,并且包含:行号,变量名等)。
这是一项不错的努力,但是具有调试器的Java开发人员经验丰富,可以在很少进行实时运行的同时轻松推断出每个参数的用途。
ProGuard是不错的开源混淆器之一,但还有更多工具。
但是,如果您确实是安全狂热者,则可能需要更强大的功能。更强大的功能需要更多的功能(和更多的金钱),这将使我们进入下一个子弹:
付费解决方案
尽管免费产品只能更改类的方法名称,但付费产品通常会提供更多功能:
关于java - 反编译器字节码和混淆器,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/13098606/
我真的很困惑。我已经尝试使用带有 tomcat 的 Jax-rs 并使用所有注释,我能够使用 url 调用我的服务。因此,如果没有 Jax-rs,我可以简单地拥有一个 servlet 并调用我的服务。
是否有任何工具/商业混淆器可以混淆 WPF 控件中的 BAML 资源? 如果没有,就 IP 保护而言,这是一段艰难的时期,因为黑客可以通过使用 BAML 到 XAML 转换器轻松查看 BAML 资源。
嘿大家。我在尝试使用 COBOL 在 zOS 环境中解决的编码项目中遇到了一些麻烦。我需要读入一个文件并将它们放入索引表中(我知道将少于 90 条记录)。 让我感到困扰的是,我们受到项目参数的约束,以
我试图按照这个例子来理解 join() 方法: class PrintDemo { public void printCount() { try { for(int
当我编译我正在编写的代码,然后在 JD Gui 中查看时,方法显示带有如下标题: public void growSurface(Random paramRandom, int paramInt1,
我正在为重新分发准备 Android 库,它的代码必须进行混淆处理。我已经阅读了有关此主题的一些内容,并且决定使用 Android Library Project。它将作为 jar 分发(自动在/bi
两个混淆相关的问题: 1) 是否有任何工具可以将 F# 从 MSIL 目标形式反汇编回其源形式或接近它的形式?这不是通过默默无闻来实现安全性的尝试,但我想保护某些源代码免遭“盗窃”。 2) 我简要地查
谁能向我解释为什么 simulatedCase <- rbinom(100,1,0.5) simDf <- data.frame(CASE = simulatedCase) posterior_m0
我一直无法找到关于使用 AppDomains 时发生的事情的非常清楚的描述,所以希望有人能够启发我。我有一个简单的测试程序(基本上是扯掉了 MSDN example ): using System;
假设我有 2 个分支topic和 master如果我在 topic分支,然后运行 git rebase master它是 rebase master 还是 rebase 主题分支? 做 git r
我有一个类(class): public class LockTest { public void LockThis() { lock (this)
我正在尝试最小化/混淆我的 Angular 代码,但遇到了问题。我在这里阅读“缩小说明”http://docs.angularjs.org/tutorial/step_05但我定义我的 Control
我遇到了一些困惑的操作。 var a = 0.1; var b = 0.2; var c = 0.3; console.log(a); // 0.1 console.log(b); // 0.2 co
感谢您查看我的帖子 - 我正在尝试弄清楚如何在单击链接时关闭此下拉菜单,但我的 JavaScript 技能非常缺乏,而且代码似乎很困惑。这是 HTML:
混淆、哈希和加密之间有什么区别? 这是我的理解: 哈希是一种单向算法;无法逆转 混淆与加密类似,但不需要任何“ secret ”即可理解(ROT13 就是一个例子) 加密是可逆的,但需要“ secre
我有以下代码 my $content = $response->content; $content =~ /username=([\s\S]+?)&/; my $username = $1; prin
我在 .NET 中发现了一些与我预期的有点不同的东西。我粘贴的代码没有意义,但它是我拥有的一个复杂得多的函数的浓缩版。我实际上是在获取匿名类型信息作为参数(尚未创建匿名类型的实例),我需要创建该类型的
我正在努力解决 JavaFX 应用程序的混淆问题。使用此项目作为基础: https://github.com/openjfx/samples/tree/master/IDE/IntelliJ/Non-
是否可以制作一个与此类似的 CSV 阅读器 while((line = reader.readLine()) != null){ String[] values = line.
公共(public)类测试2 { 公共(public)静态无效主(字符串[]参数){ System.out.println("3 + 6"); System.out.println(3
我是一名优秀的程序员,十分优秀!