2022年运用加密技术保护Java源代码归纳 .pdf

《2022年运用加密技术保护Java源代码归纳 .pdf》由会员分享，可在线阅读，更多相关《2022年运用加密技术保护Java源代码归纳 .pdf（11页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、运用加密技术保护Java 源代码内容：一、为什么要加密？二、定制类装入器三、加密、解密四、应用实例五、注意事项参考资源Java 程序的源代码很容易被别人偷看。只要有一个反编译器，任何人都可以分析别人的代码。本文讨论如何在不修改原有程序的情况下，通过加密技术保护源代码。一、为什么要加密？对于传统的C或 C+之类的语言来说，要在Web上保护源代码是很容易的，只要不发布它就可以。遗憾的是，Java 程序的源代码很容易被别人偷看。只要有一个反编译器，任何人都可以分析别人的代码。Java 的灵活性使得源代码很容易被窃取，但与此同时，它也使通过加密保护代码变得相对容易，我们唯一需要了解的就是Java 的

2、ClassLoader对象。当然，在加密过程中，有关Java Cryptography Extension（JCE）的知识也是必不可少的。有几种技术可以“模糊”Java 类文件，使得反编译器处理类文件的效果大打折扣。然而，修改反编译器使之能够处理这些经过模糊处理的类文件并不是什么难事，所以不能简单地依赖模糊技术来保证源代码的安全。我们可以用流行的加密工具加密应用，比如 PGP（Pretty Good Privacy）或 GPG（GNU Privacy Guard）。这时，最终用户在运行应用之前必须先进行解密。但解密之后，最终用户就有了一份不加密的类文件，这和事先不进行加密没有什么差别。Java

3、 运行时装入字节码的机制隐含地意味着可以对字节码进行修改。JVM每次装入类文件时都需要一个称为ClassLoader的对象，这个对象负责把新的类装入正在运行的JVM。JVM给ClassLoader一个包含了待装入类（比如java.lang.Object）名字的字符串，然后由ClassLoader负责找到类文件，装入原始数据，并把它转换成一个Class 对象。我们可以通过定制ClassLoader，在类文件执行之前修改它。这种技术的应用非常广泛在这里，它的用途是在类文件装入之时进行解密，因此可以看成是一种即时解密器。由于解密后的字节码文件永远不会保存到文件系统，所以窃密者很难得到解密后的代码。由

4、于把原始字节码转换成Class 对象的过程完全由系统负责，所以创建定制ClassLoader对象其实并不困难，只需先获得原始数据，接着就可以进行包含解密在内的任何转换。Java 2在一定程度上简化了定制ClassLoader的构建。在Java 2 中，loadClass的缺省实现名师资料总结-精品资料欢迎下载-名师精心整理-第 1 页，共 11 页 -仍旧负责处理所有必需的步骤，但为了顾及各种定制的类装入过程，它还调用一个新的findClass方法。这为我们编写定制的ClassLoader提供了一条捷径，减少了麻烦：只需覆盖findClass，而不是覆盖loadClass。这种方法避免了重复所

5、有装入器必需执行的公共步骤，因为这一切由loadClass负责。不过，本文的定制ClassLoader并不使用这种方法。原因很简单。如果由默认的ClassLoader先寻找经过加密的类文件，它可以找到；但由于类文件已经加密，所以它不会认可这个类文件，装入过程将失败。因此，我们必须自己实现loadClass，稍微增加了一些工作量。二、定制类装入器每一个运行着的JVM已经拥有一个ClassLoader。这个默认的ClassLoader根据 CLASSPATH环境变量的值，在本地文件系统中寻找合适的字节码文件。应用定制ClassLoader要求对这个过程有较为深入的认识。我们首先必须创建一个定制Cl

6、assLoader类的实例，然后显式地要求它装入另外一个类。这就强制JVM把该类以及所有它所需要的类关联到定制的ClassLoader。Listing 1显示了如何用定制 ClassLoader装入类文件。【Listing 1：利用定制的ClassLoader装入类文件】/首先创建一个ClassLoader对象ClassLoader myClassLoader=new myClassLoader();/利用定制ClassLoader 对象装入类文件/并把它转换成Class 对象Class myClass=myClassLoader.loadClass("mypackage.MyCla

7、ss");/最后，创建该类的一个实例Object newInstance=myClass.newInstance();/注意，MyClass 所需要的所有其他类，都将通过/定制的 ClassLoader自动装入如前所述，定制ClassLoader只需先获取类文件的数据，然后把字节码传递给运行时系统，名师资料总结-精品资料欢迎下载-名师精心整理-第 2 页，共 11 页 -由后者完成余下的任务。ClassLoader有几个重要的方法。创建定制的ClassLoader时，我们只需覆盖其中的一个，即 loadClass，提供获取原始类文件数据的代码。这个方法有两个参数：类的名字，以及一个表

8、示 JVM是否要求解析类名字的标记（即是否同时装入有依赖关系的类）。如果这个标记是true，我们只需在返回JVM之前调用resolveClass。【Listing 2：ClassLoader.loadClass()的一个简单实现】public Class loadClass(String name,boolean resolve)throws ClassNotFoundException try /我们要创建的Class 对象Class clasz=null;/必需的步骤1：如果类已经在系统缓冲之中，/我们不必再次装入它clasz=findLoadedClass(name);if(clasz!

9、=null)return clasz;/下面是定制部分byte classData=/*通过某种方法获取字节码数据*/;if(classData!=null)/成功读取字节码数据，现在把它转换成一个Class 对象clasz=defineClass(name,classData,0,classData.length);/必需的步骤2：如果上面没有成功，/我们尝试用默认的ClassLoader装入它if(clasz=null)clasz=findSystemClass(name);/必需的步骤3：如有必要，则装入相关的类if(resolve&&clasz!=null)resolv

10、eClass(clasz);/把类返回给调用者return clasz;名师资料总结-精品资料欢迎下载-名师精心整理-第 3 页，共 11 页 -catch(IOException ie)throw new ClassNotFoundException(ie.toString();catch(GeneralSecurityException gse)throw new ClassNotFoundException(gse.toString();Listing 2显示了一个简单的loadClass实现。代码中的大部分对所有ClassLoader对象来说都一样，但有一小部分（已通过注释标记）是特有

11、的。在处理过程中，ClassLoader对象要用到其他几个辅助方法：findLoadedClass：用来进行检查，以便确认被请求的类当前还不存在。loadClass方法应该首先调用它。defineClass：获得原始类文件字节码数据之后，调用defineClass把它转换成一个Class对象。任何loadClass实现都必须调用这个方法。findSystemClass：提供默认 ClassLoader的支持。如果用来寻找类的定制方法不能找到指定的类（或者有意地不用定制方法），则可以调用该方法尝试默认的装入方式。这是很有用的，特别是从普通的JAR文件装入标准Java 类时。resolveClas

12、s：当 JVM想要装入的不仅包括指定的类，而且还包括该类引用的所有其他类时，它会把 loadClass的 resolve参数设置成true。这时，我们必须在返回刚刚装入的Class 对象给调用者之前调用resolveClass。三、加密、解密Java 加密扩展即Java Cryptography Extension，简称 JCE。它是 Sun 的加密服务软件，包含了加密和密匙生成功能。JCE是 JCA（Java Cryptography Architecture）的一种扩展。JCE 没有规定具体的加密算法，但提供了一个框架，加密算法的具体实现可以作为服务提供者加入。除了 JCE框架之外，JCE

13、软件包还包含了 SunJCE 服务提供者，其中包括许多有用的加密算法，比如DES（Data Encryption Standard）和 Blowfish。为简单计，在本文中我们将用DES算法加密和解密字节码。下面是用JCE加密和解密数据必须遵循的基本步骤：步骤1：生成一个安全密匙。在加密或解密任何数据之前需要有一个密匙。密匙是随同被加密的应用一起发布的一小段数据，Listing 3显示了如何生成一个密匙。【Listing 3：生成一个密匙】名师资料总结-精品资料欢迎下载-名师精心整理-第 4 页，共 11 页 -/DES 算法要求有一个可信任的随机数源SecureRandom sr=new S

14、ecureRandom();/为我们选择的DES算法生成一个KeyGenerator对象KeyGenerator kg=KeyGenerator.getInstance("DES");kg.init(sr);/生成密匙SecretKey key=kg.generateKey();/获取密匙数据byte rawKeyData=key.getEncoded();/*接下来就可以用密匙进行加密或解密，或者把它保存为文件供以后使用*/doSomething(rawKeyData);步骤 2：加密数据。得到密匙之后，接下来就可以用它加密数据。除了解密的ClassLoad er之外，一

15、般还要有一个加密待发布应用的独立程序（见 Listing 4）。【Listing 4：用密匙加密原始数据】/DES 算法要求有一个可信任的随机数源SecureRandom sr=new SecureRandom();byte rawKeyData=/*用某种方法获得密匙数据*/;/从原始密匙数据创建DESKeySpec对象DESKeySpec dks=new DESKeySpec(rawKeyData);/创建一个密匙工厂，然后用它把DESKeySpec转换成/一个 SecretKey 对象SecretKeyFactory keyFactory=SecretKeyFactory.getInst

16、ance("DES");SecretKey key=keyFactory.generateSecret(dks);/Cipher对象实际完成加密操作Cipher cipher=Cipher.getInstance("DES");名师资料总结-精品资料欢迎下载-名师精心整理-第 5 页，共 11 页 -/用密匙初始化Cipher 对象cipher.init(Cipher.ENCRYPT_MODE,key,sr);/现在，获取数据并加密byte data=/*用某种方法获取数据*/正式执行加密操作byte encryptedData=cipher.doFin

17、al(data);/进一步处理加密后的数据doSomething(encryptedData);步骤3：解密数据。运行经过加密的应用时，ClassLoader分析并解密类文件。操作步骤如Listing 5所示。【Listing 5：用密匙解密数据】/DES 算法要求有一个可信任的随机数源SecureRandom sr=new SecureRandom();byte rawKeyData=/*用某种方法获取原始密匙数据*/;/从原始密匙数据创建一个DESKeySpec对象DESKeySpec dks=new DESKeySpec(rawKeyData);/创建一个密匙工厂，然后用它把DESKey

18、Spec对象转换成/一个 SecretKey 对象SecretKeyFactory keyFactory=SecretKeyFactory.getInstance("DES");SecretKey key=keyFactory.generateSecret(dks);/Cipher对象实际完成解密操作Cipher cipher=Cipher.getInstance("DES");/用密匙初始化Cipher 对象cipher.init(Cipher.DECRYPT_MODE,key,sr);/现在，获取数据并解密byte encryptedData=/*获

19、得经过加密的数据*/正式执行解密操作byte decryptedData=cipher.doFinal(encryptedData);/进一步处理解密后的数据doSomething(decryptedData);名师资料总结-精品资料欢迎下载-名师精心整理-第 6 页，共 11 页 -四、应用实例前面介绍了如何加密和解密数据。要部署一个经过加密的应用，步骤如下：步骤 1：创建应用。我们的例子包含一个App主类，两个辅助类（分别称为Foo 和 Bar）。这个应用没有什么实际功用，但只要我们能够加密这个应用，加密其他应用也就不在话下。步骤 2：生成一个安全密匙。在命令行，利用GenerateKey

20、 工具（参见GenerateKey.java）把密匙写入一个文件：%java GenerateKey key.data 步骤 3：加密应用。在命令行，利用EncryptClasses工具（参见EncryptClasses.java）加密应用的类：%java EncryptClasses key.data App.class Foo.class Bar.class 该命令把每一个 .class文件替换成它们各自的加密版本。步骤4：运行经过加密的应用。用户通过一个DecryptStart程序运行经过加密的应用。DecryptStart程序如 Listing 6所示。【Listing 6：Decry

21、ptStart.java，启动被加密应用的程序】import java.io.*;import java.security.*;import java.lang.reflect.*;import javax.crypto.*;import javax.crypto.spec.*;public class DecryptStart extends ClassLoader /这些对象在构造函数中设置，/以后 loadClass()方法将利用它们解密类private SecretKey key;private Cipher cipher;/构造函数：设置解密所需要的对象public DecryptS

22、tart(SecretKey key)throws GeneralSecurityException,IOException this.key=key;名师资料总结-精品资料欢迎下载-名师精心整理-第 7 页，共 11 页 -String algorithm="DES"SecureRandom sr=new SecureRandom();System.err.println("DecryptStart:creating cipher");cipher=Cipher.getInstance(algorithm);cipher.init(Cipher.DEC

23、RYPT_MODE,key,sr);/main过程：我们要在这里读入密匙，创建DecryptStart的/实例，它就是我们的定制ClassLoader。/设置好 ClassLoader以后，我们用它装入应用实例，/最后，我们通过Java Reflection API调用应用实例的main 方法static public void main(String args)throws Exception String keyFilename=args0;String appName=args1;/这些是传递给应用本身的参数String realArgs=new Stringargs.length-2;

24、System.arraycopy(args,2,realArgs,0,args.length-2);/读取密匙System.err.println("DecryptStart:reading key");byte rawKey=Util.readFile(keyFilename);DESKeySpec dks=new DESKeySpec(rawKey);SecretKeyFactory keyFactory=SecretKeyFactory.getInstance("DES");SecretKey key=keyFactory.generateSecr

25、et(dks);/创建解密的ClassLoader DecryptStart dr=new DecryptStart(key);/创建应用主类的一个实例/通过 ClassLoader装入它System.err.println("DecryptStart:loading"+appName+"");Class clasz=dr.loadClass(appName);/最后，通过Reflection API调用应用实例/的 main()方法/获取一个对main()的引用String proto=new String1;Class mainArgs=(new S

26、tring1).getClass();Method main=clasz.getMethod("main",mainArgs);/创建一个包含main()方法参数的数组Object argsArray=realArgs;名师资料总结-精品资料欢迎下载-名师精心整理-第 8 页，共 11 页 -System.err.println("DecryptStart:running"+appName+".main()");/调用 main()main.invoke(null,argsArray);public Class loadClass(S

27、tring name,boolean resolve)throws ClassNotFoundException try /我们要创建的Class 对象Class clasz=null;/必需的步骤1：如果类已经在系统缓冲之中/我们不必再次装入它clasz=findLoadedClass(name);if(clasz!=null)return clasz;/下面是定制部分try /读取经过加密的类文件byte classData=Util.readFile(name+".class");if(classData!=null)/解密.byte decryptedClassDa

28、ta=cipher.doFinal(classData);/.再把它转换成一个类clasz=defineClass(name,decryptedClassData,0,decryptedClassData.length);System.err.println("DecryptStart:decrypting class"+name+"");catch(FileNotFoundException fnfe)/必需的步骤2：如果上面没有成功/我们尝试用默认的ClassLoader装入它名师资料总结-精品资料欢迎下载-名师精心整理-第 9 页，共 11 页 -

29、if(clasz=null)clasz=findSystemClass(name);/必需的步骤3：如有必要，则装入相关的类if(resolve&&clasz!=null)resolveClass(clasz);/把类返回给调用者return clasz;catch(IOException ie)throw new ClassNotFoundException(ie.toString();catch(GeneralSecurityException gse)throw new ClassNotFoundException(gse.toString();对于未经加密的应用，正常执

30、行方式如下：%java App arg0 arg1 arg2 对于经过加密的应用，则相应的运行方式为：%java DecryptStart key.data App arg0 arg1 arg2 DecryptStart有两个目的。一个DecryptStart的实例就是一个实施即时解密操作的定制ClassLoader；同时，DecryptStart还包含一个main 过程，它创建解密器实例并用它装入和运行应用。示例应用App 的代码包含在App.java、Foo.java和 Bar.java内。Util.java是一个文件I/O 工具，本文示例多处用到了它。完整的代码请从本文最后下载。五、注意

31、事项我们看到，要在不修改源代码的情况下加密一个Java 应用是很容易的。不过，世上没有完全安全的系统。本文的加密方式提供了一定程度的源代码保护，但对某些攻击来说它是脆弱的。虽然应用本身经过了加密，但启动程序DecryptStart没有加密。攻击者可以反编译启动程序并修改它，把解密后的类文件保存到磁盘。降低这种风险的办法之一是对启动程序进行高质量的模糊处理。或者，启动程序也可以采用直接编译成机器语言的代码，使得启动程序具有传统执行文件格式的安全性。另外还要记住的是，大多数 JVM本身并不安全。狡猾的黑客可能会修改JVM，从 ClassLoader之外获取解密后的代码并保存到磁盘，从而绕过本文的加

32、密技术。Java 没有为此提供真正有名师资料总结-精品资料欢迎下载-名师精心整理-第 10 页，共 11 页 -效的补救措施。不过应该指出的是，所有这些可能的攻击都有一个前提，这就是攻击者可以得到密匙。如果没有密匙，应用的安全性就完全取决于加密算法的安全性。虽然这种保护代码的方法称不上十全十美，但它仍不失为一种保护知识产权和敏感用户数据的有效方案。xuyingming 回复于：2004-06-05 16:20:57 我在测试的时候在你在帖子里,的 Util.readFile(name+".class");没有这样的方法啊,那个 GenerateKey.java和 Encry

33、ptClasses.java在哪里有啊?最好能把这个示例的所有源代码发给我,我的邮箱是 xym_ 谢谢!feelpassion 回复于：2004-07-13 15:57:35 我在生成密钥的时候，为什么每次执行都得到相同的密钥，而怎样才能每次生成不同的密钥？能不能把这个示例的所有源代码发给我,邮箱： 万分感谢!looloo 回复于：2004-07-28 11:22:02:mrgreen:转贴别人的文章，不是自己写的，也不看内容，当然找不到源代码。建议还是把人家的名字也贴上来吧。原文链接：http:/ 转载请注明作者名及原文出处名师资料总结-精品资料欢迎下载-名师精心整理-第 11 页，共 11 页 -