Java JAR 保护

Question

我编写了一个 Java 应用程序，并计划在线分发它。每个版本都将使用我制作的秘密序列号进行锁定。

我需要保护我的 jar 文件免受反编译器等的影响。这是我目前所做的：

1. 用户在表单中输入他的序列号
2. 串口通过 php 脚本发送到我的开发服务器
3. 脚本生成一个新的 jar bin 文件，该文件以 AES 128 加密
4. 我的“加载器”将 jar 文件作为字节下载并解密。
5. 它调用 main 方法。
6. 用户可以随意使用应用程序
7. 用户关闭应用
8. 缓存被清除，一切都返回到第 1 步或之前。

我已经完成了步骤 1 到 3，但我需要知道是否可以制作一个自定义类加载器，从 HTTP 中获取字节、解密它们并调用 main 方法。由于文件是完全加密的（在 PHP 服务器上保存为 bin），我不能使用基本的类加载器。关于第 8 步，是否可以从计算机内存中卸载内容？

Answer 1

是的，有可能，但也没用。

您的类加载器将是您的安全系统的最薄弱环节。不能加密，所以反编译比较容易。

现在，由于 Classloader 中有一个地方必须有一个字节数组形式的解密类，攻击者唯一需要做的就是将该字节数组转储到文件中。

参考dystroy的代码：

classBytes = EncryptionUtil.decryptBytes(url, key); 

// In this moment, classBytes contains unencrypted class.
// If an attacker adds:   
//
//   FileOutputStream fos = new FileOutputStream("some.name");
//   fos.write(classBytes);
//   fos.close();
// 
// he will destroy all your security.


return defineClass(name, classBytes, 0, classBytes.length);

Answer 2

是的，您可以向类加载器提供您抓取的字节。我在类似的问题中这样做：

public class SecureClassLoader extends URLClassLoader {

    @Override
    protected Class<?> findClass(final String name) throws ClassNotFoundException {
        if (isEncrypted(name)) {
            final String resourceName = name.replace('.', '/') + ".class";
            URL url = findResource(resourceName);
            if (url != null) {
                byte[] classBytes = null;
                try {
                    classBytes = EncryptionUtil.decryptBytes(url, key);
                    return defineClass(name, classBytes, 0, classBytes.length);
                } catch (ClassFormatError e) {
                    log.severe("Bad format for decrypted class " + name);
                    throw new EncryptedClassNotFoundException(name, e);
                } catch (InvalidKeyException e) {
                    throw new EncryptedClassNotFoundException(name, e);
                } catch (IOException e) {
                    throw new EncryptedClassNotFoundException(name, e);
                }
            }
        }

        // default loader
        try {
            return super.findClass(name);
        } catch (ClassNotFoundException e) {
            throw new EncryptedClassNotFoundException(name, e);
        }
    }

    private boolean isEncrypted(String className) {
        /// some things
    }
}

但这不足以保护您的代码。至少，不要为两个用户使用相同的字节（你似乎这样做了）。并混淆你的代码（我使用 proguard）。这将保护您免受普通黑客的攻击，而不是最好的。