河北住房城乡建设厅官方网站,天津公司网站,全国响应式网站建设,网站建设效果好不好有了上一节的基础工具后#xff0c;接下来要考虑如何反篡改。
本文采用的是对混淆后的代码#xff0c;针对某些关键包的字节码数据计算md5值#xff0c;对所有类计算完成后对md5值进行排序#xff0c;排序后拼接字符串再次计算md5值#xff0c;最后通过私钥对md5进行RSA对… 有了上一节的基础工具后接下来要考虑如何反篡改。
本文采用的是对混淆后的代码针对某些关键包的字节码数据计算md5值对所有类计算完成后对md5值进行排序排序后拼接字符串再次计算md5值最后通过私钥对md5进行RSA对称加密加密后的内容要放到核心的jar包中。
程序在启动时需要有一些入口点调用代码校验代码校验时使用classloader搜索指定包中的所有class数据对这些数据按照相同的规则计算md5值用公钥解析核心jar包中的加密信息比对该信息和运行时计算的md5值是否匹配如果一致则正常运行如果不一致就终止运行。 运行时获取类信息可以使用Hutool的ClassScanner这里不再提供详细代码。 接下来的重点就是如何对混淆后的代码进行签名加密并且把加密信息写入到jar包中。首先已经存在的jar包是无法编辑的没法直接往里面加入新的文件因此可行的方式就是创建一个新的jar把旧jar里面的信息全部拷贝过去然后再写入新的内容删除旧jar把新的重命名为原jar包的名字即可。为了解决何时执行并且写入加密信息想了几个方案。
方案一
参考 ant 的 task增加一个新的 task然后加入到插件配置中在新的task中读取混淆后的代码然后替换jar。
在实现这个方案的时候首先发现一个问题就是无法正确读取混淆后的代码代码读取的都是混淆前的似乎是 target/classes 目录的代码即使能读取混淆后的代码混淆部分包名的时候无法预先指定要混淆的名字想要固定需要手动通过 map 指定映射的名字为了测试方案先绕过了读取类尝试向jar写入信息结果删除旧jar的时候发现无法删除竟然被yguard的任务占用了这个方案行不通只能放弃。
方案二
jar包被占用不能覆盖后只能想别的办法已经把 mvn clean deploy 的 package 单独分出去了是不是先 package 打包再设法执行代码生成签名这样分开操作一定不会被占用最后在执行 deploy 发布。
为了实现这个功能将 yguard 插件的配置挪到了 pom.xml 中的 profiles中添加了一个配置进行混淆又增加了一个配置仍然使用前面task的方式进行覆盖。经过测试发现可以写入到jar包文件了占用的问题解决了。
此时前面绕过的问题还要面对如何在执行 task 时能在类路径中获取到混淆后的代码呢想了想使用task不知道该如何配置才能让classpath中包含这七十多个jar包如果打一个可执行jar包通过 java -cp 手动指定所有类这种方式似乎可行如果纯手工操作虽然麻烦也是一个办法但是如何想要集成到CI/CD环境这种方式就太麻烦了为了解决这个问题愁了一下午连微信公众号都差点断更。
对ant和yguard的理解也在不断加深很多细节不了解导致在反篡改这个功能受阻。在尝试这些方案时还没看过yguard的代码混淆技术研究笔记二yGuard入门 中介绍的 externalclasses 我也不明白如果当时看到这里也许就有简单办法实现。
我在一些文章中表达过很多次这种想法针对某个问题的解决方案在不同时刻思考得出的方案是不一样的遇到难题放松一下再思考也许能得到更好的解决办法。
方案三
终于看了yguard的源码没看太明白没找到合适的入口在我解决混淆代码处理SPI接口文件名时用到了adjust配置这个配置可以修改文件名还支持修改文件内容能不能从这儿入手写一个类似 adjust 的实现我可能还需要预先在核心jar包中提前预制一个文件通过修改文件内容来实现这个功能这个办法也许行的通明天早晨到公司一定要试试这是下班回家路上想到的方案。
