Java class 文件安全加密工具对比与ClassFinal实战

超、凢脫俗 2024-03-26 23:40 127阅读 0赞

#### 文章目录 ####

*   *  前言
     *  常见加密方案对比
     *   *  XJar
         *  ProGuard
         *  ClassFinal
     *  ClassFinal实战
     *   *  纯命令方式
         *  maven插件方式
     *  写在最后

### 前言 ###

相信不少的同学开发的软件都是用户商业化，对于这些商业运营的项目很多都会直接部署在客户方，这样就可能会导致项目源码泄露。当然，作为Java语言的搬砖人打的jar包更是如此，可以直接通过GUI反编译轻而易举拿到源码。那么，有没有对我们class文件加密和代码混淆的实战方案呢？答案当然是有的，今天我们就分享一下常规的加密方案。

### 常见加密方案对比 ###

#### XJar ####

Spring Boot JAR 安全加密运行工具，同时支持的原生JAR。  
基于对JAR包内资源的加密以及拓展ClassLoader来构建的一套程序加密启动，动态解密运行的方案，避免源码泄露或反编译

> 功能特性：  
> 无需侵入代码，只需要把编译好的JAR包通过工具加密即可。  
> 完全内存解密，杜绝源码以及字节码泄露或反编译。  
> 支持所有JDK内置加解密算法。  
> 可选择需要加解密的字节码或其他资源文件，避免计算资源浪费。

> 运行环境：  
> 新版XJar只支持go启动器模式启动加密后的jar包 , 加密后需要go环境生成go启动器 . 运行时不需要go环境。

> 加密原理：  
> 对jar的字节码加密 , 启动jar包时调用自定义的类加载器, 重写findClass方法,拿到字节流后,先解密再调Classloader的defineClass方法,初始化成Class对象。

加密结果：  
加密后的Class不能反编译。  
![在这里插入图片描述][d8129e8aa7a14c4987c9b5e17b8cc8b2.png]

#### ProGuard ####

ProGuard 是一个免费的 Java 类文件的压缩，优化，混淆器。它删除没有用的类，字段，方法与属性。使字节码最大程度地优化，使用简短且无意义的名字来重命名类、字段和方法 。

> 功能特性：  
> 1、压缩（shrink） 移除未使用的类、方法、字段等；  
> 2、优化（optimize）优化字节码、简化代码等操作；  
> 3、混淆（obfuscate）使用简短的、无意义的名称重全名类名、方法名、字段等；  
> 4、预校验（preverify）为class添加预校验信息。

> 运行环境：  
> jdk，不需要额外运行环境。

加密结果：  
混淆后的class反编译后都是一些魔法命名字符，增加阅读难度。  
![在这里插入图片描述][e85884c626f44009b03ef9628c842f14.png]

#### ClassFinal ####

ClassFinal 是一款 Java class 文件安全加密工具，支持直接加密 jar 包或 war 包，无需修改任何项目代码，兼容 spring-framework，可避免源码泄漏或字节码被反编译。

> 项目模块说明：  
> 1、classfinal-core: ClassFinalde 的核心模块，几乎所有加密的代码都在这里；  
> 2、classfinal-fatjar: ClassFinal 打包成独立运行的 jar 包；  
> 3、classfinal-maven-plugin: ClassFinal 加密的 maven 插件；

> 功能特性:  
> 1、无需修改原项目代码，只要把编译好的 jar/war 包用本工具加密即可。  
> 2、运行加密项目时，无需求修改 tomcat，spring 等源代码。  
> 3、支持普通 jar 包、springboot jar 包以及普通 java web 项目编译的 war 包。  
> 4、支持 spring framework、swagger 等需要在启动过程中扫描注解或生成字节码的框架。  
> 5、支持 maven 插件，添加插件后在打包过程中自动加密。  
> 6、支持加密 WEB-INF/lib 或 BOOT-INF/lib 下的依赖 jar 包。

> 环境依赖：  
> JDK 1.8 +

本工具使用 AES 算法加密 class 文件，密码是保证不被破解的关键，请保存好密码，请勿泄漏。  
密码一旦忘记，项目不可启动且无法恢复，请牢记密码。  
本工具加密后，原始的 class 文件并不会完全被加密，只是方法体被清空，保留方法参数、注解等信息，这是为了兼容 spring，swagger 等扫描注解的框架； 方法体被清空后，反编译者只能看到方法名和注解，看不到方法的具体内容；当 class 被 classloader 加载时，真正的方法体会被解密注入。

加密结果：  
配置文件反编译后为空  
![在这里插入图片描述][47b8e2d1338a43089fb4bef9d59155f4.png]

class文件反编译后直接隐藏方法体  
![在这里插入图片描述][9aed8cf8bf5549c893830608e81d2a4a.png]

### ClassFinal实战 ###

由于我们不希望引入其他外部依赖环境，遂选择ClassFinal进行代码混淆，可以达到隐藏配置文件内容和清空方法体的效果，即使外部人员拿到源码也不能仿造系统。

#### 纯命令方式 ####

> 下载工具

https://repo1.maven.org/maven2/net/roseboy/classfinal-fatjar/1.2.1/classfinal-fatjar-1.2.1.jar

> 参数说明

-file        加密的jar/war完整路径
    -packages    加密的包名(可为空,多个用","分割)
    -libjars     jar/war包lib下要加密jar文件名(可为空,多个用","分割)
    -cfgfiles    需要加密的配置文件，一般是classes目录下的yml或properties文件(可为空,多个用","分割)
    -exclude     排除的类名(可为空,多个用","分割)
    -classpath   外部依赖的jar目录，例如/tomcat/lib(可为空,多个用","分割)
    -pwd         加密密码，如果是#号，则使用无密码模式加密
    -code        机器码，在绑定的机器生成，加密后只可在此机器上运行
    -Y          无需确认，不加此参数会提示确认以上信息

> 执行以下命令

java -jar classfinal-fatjar-1.2.1.jar -file yourpaoject.jar -libjars a.jar,b.jar -packages com.yourpackage,com.yourpackage2 -exclude com.yourpackage.Main -pwd 123456 -Y

结果: 生成 yourpaoject-encrypted.jar，这个就是加密后的jar文件；加密后的文件不可直接执行，需要配置javaagent。  
![在这里插入图片描述][47b5da2b6b2341cbb92100a8a783123b.png]

> 执行jar

java -javaagent:yourpaoject-encrypted.jar='-pwd 123456' -jar yourpaoject-encrypted.jar

#### maven插件方式 ####

引入ClassFinal插件后直接package即可生成加密包

> pom引入插件

<plugin>
        <groupId>net.roseboy</groupId>
        <artifactId>classfinal-maven-plugin</artifactId>
        <version>1.2.1</version>
        <configuration>
            <password>#</password>
            <packages>yourpackage</packages>
            <excludes>org.spring</excludes>
            <cfgfiles>yourconfig</cfgfiles>
            <libjars>yourjar</libjars>
        </configuration>
        <executions>
            <execution>
                <phase>package</phase>
                <goals>
                    <goal>classFinal</goal>
                </goals>
            </execution>
        </executions>
    </plugin>

> mvn打包

mvn package -Dmaven.test.skip=true

![在这里插入图片描述][20f2004d91c9463c88b9fee498880dff.png]

> 反编译jar

配置文件全部清空  
![在这里插入图片描述][ed60ed67e39641bfaa36a686e4551db7.png]

class文件方法体全部清空  
![在这里插入图片描述][914ea7cb246d4183a951dbb2afebe67a.png]

依赖的lib包方法体全部清空  
![在这里插入图片描述][a67a5f560d164e308d4f1b41a02975b6.png]

### 写在最后 ###

非常重要的项目推荐使用XJar可以完全隐藏Class文件内容，但是需要额外的go环境支持，也可以保守选择ClassFinal直接无侵入达到隐藏方法体和配置文件内容的目的。当然任何的加密和代码混淆的方案都只是增加反编译破解难度，在实际的生产中还需要增加远程鉴权、机器码植入验证、远程依赖加载等等方式保证软件的控制权。

[d8129e8aa7a14c4987c9b5e17b8cc8b2.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/df8c7a94146740c0ac4e27b230451b8c.png
[e85884c626f44009b03ef9628c842f14.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/bfea5a30b67a41b2b278a7fc7dbe864a.png
[47b8e2d1338a43089fb4bef9d59155f4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/fbdb57d88a264846be71bc93d3807be1.png
[9aed8cf8bf5549c893830608e81d2a4a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/2bbbf9e194764a9ea11146b57362cc2c.png
[47b5da2b6b2341cbb92100a8a783123b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/b712a1f2540748d0aaf4fd7d8d497cfa.png
[20f2004d91c9463c88b9fee498880dff.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/cf2284e019404d619afa81d055413067.png
[ed60ed67e39641bfaa36a686e4551db7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/6a412bd0b96c4d5384a33106705ac932.png
[914ea7cb246d4183a951dbb2afebe67a.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/4caa1a573ecc4efe9c446f595a827179.png
[a67a5f560d164e308d4f1b41a02975b6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/11/7a28afc1b96c419185ddedaca1724d17.png