其实,要实现这一点,并不难,只需要对一些重要的类实行加密就可以了。当然,在装载时,加密的类是需要解密才能被ClassLoader识别的。所以,我们必须自己创建ClassLoader类。在标准Java api中ClassLoader有几个重要的方法。创建定制ClassLoader时,我们只需覆盖其中的一个,即loadClass,添加获取原始类文件数据的代码。这个方法有两个参数:类的名字,以及一个表示JVM是否要求解析类名字的标记(即是否同时装入有依赖关系的类)。如果这个标记为true,我们只需在返回JVM之前调用resolveClass.
原代码如下:
public Class loadClass( String name, boolean resolve )
throws ClassNotFoundException {
try {
Class clasz = null;
//步骤1:如果类已经在系统缓冲之中,我们就不需要再次装入它
clasz = findLoadedClass( name );
if (clasz != null)
return clasz;
byte classData[] = /* 通过某种方法获取字节码数据 */;
if (classData != null) {
clasz = defineClass( name, classData, 0, classData.length );
}
//步骤2:如果上面没有成功,
if (clasz == null)
clasz = findSystemClass( name );
//步骤3:如有必要,则装入相关的类
if (resolve && clasz != null)
resolveClass( clasz );
return clasz;
} catch( IOException ie ) {
throw new ClassNotFoundException( ie.toString() );
} catch( GeneralSecurityException gse ) {
throw new ClassNotFoundException( gse.toString() );
} } |
代码中的大部分对所有ClassLoader对象来说都一样,但有一小部分是特有的。在处理过程中,ClassLoader对象要用到其他几个辅助方法:findLoadedClass:用来进行检查,以便确认被请求的类当前是否存在,loadClass方法应该首先调用它。defineClass:获得原始类文件字节码数据之后,调用defineClass把它转换成对象,任何loadClass实现都必须调用这个方法。findSystemClass:提供默认ClassLoader的支持。如果用来寻找类的定制方法不能找到指定的类,则可以调用该方法尝试默认的装入方式。resolveClass:当JVM想要装入的不仅包括指定的类,而且还包括该类引用的所有其他类时,它会把loadClass的resolve参数设置成true.这时,我们必须在返回刚刚装入的Class对象给调用者之前调用resolveClass.
接下来就是加密解密部分。Java加密扩展即Java Cryptography Extension,简称JCE,是Sun的加密服务软件,包含了加密和密匙生成功能。我们可以用DES算法加密和解密字节码。用JCE加密和解密数据是要遵循一些基本步骤的(可以参考<>,这里就不祥述了)。
加密完成后,就是通过解密来获取原始类的Java字节码。可以通过一个DecryptStart程序运行经过加密的应用。
具体方法如下:
public class DecryptStart extends ClassLoader
{
private SecretKey key;
private Cipher cipher;
public DecryptStart( SecretKey key ) throws GeneralSecurityException, |
虽然应用本身经过了加密,但启动程序DecryptStart没有加密。攻击者可以反编译启动程序并修改它,把解密后的类文件保存到磁盘。降低这种风险的办法之一是对启动程序进行高质量的模糊处理。或者,启动程序也可以采用直接编译成机器语言的代码,使得启动程序具有传统执行文件格式的安全性。比如使用Java的Jini技术,来实现解密部分,就可以作到。当然,这是需要付出一定的代价的,就是丧失了Java的最大特点——平台无关性。不过,Jni技术可以用c语言在多种平台实现,我们可以在不同的平台编写不同的启动程序。
4 综合实例:
对于一些需要网络支持的软件来说,可以建立一个Web站点,在站点上存放该软件的关键类,并且建立用户管理机制,用户直接登陆网站进行确认,是许可用户,则发放解密key文件,让其下载关键类,在本地解密运行。这样作的优点是建立的Web站点可以有效的管理密钥以及用户资料。从而起到加强保护软件源代码的作用,并方便软件升级。用C/S结构是不错的选择。

