Java代码混淆加密之Xjar

news2024/11/13 15:58:26

使用背景

  • 代码安全性需求：在交付给客户或第三方时，保护源代码不被泄露或反编译是许多企业的核心需求。尤其是在竞争激烈的市场中，代码泄露可能导致严重的经济损失。

  • 传统工具的局限性：虽然有很多混淆和加密工具，比如 ProGuard，但是它们主要通过混淆代码来增加反编译的难度，并不能完全避免被逆向工程。而且一些工具需要额外的配置，对 Spring 框架的支持不够友好，增加了使用的复杂性。

  • 易用性与跨平台：XJar 强调的是 “加密” 而不是“混淆”，它通过对 JAR 包进行加密，确保即使 JAR 包被破解，里面的代码仍然是不可读的。XJar 保持了 JVM 的跨平台特性，支持 Spring Boot 应用的加密，简化了开发人员的配置工作。

  • 应用场景广泛：XJar 不仅适用于普通的 Java 应用，也适用于 Spring Boot 等框架，开发者可以方便地在其开发流程中集成 XJar 加密，保护应用程序的源代码。

功能特性

无代码侵入, 只需要把编译好的JAR包通过工具加密即可.
完全内存解密, 降低源码以及字节码泄露或反编译的风险.
支持所有JDK内置加解密算法.
可选择需要加解密的字节码或其他资源文件.
支持Maven插件, 加密更加便捷.
动态生成Go启动器, 保护密码不泄露.

开源地址

使用步骤

1.手动加密

添加依赖

<project>
    <!-- 设置 jitpack.io 仓库 -->
    <repositories>
        <repository>
            <id>jitpack.io</id>
            <url>https://jitpack.io</url>
        </repository>
    </repositories>
    <!-- 添加 XJar 依赖 -->
    <dependencies>
        <dependency>
            <groupId>com.github.core-lib</groupId>
            <artifactId>xjar</artifactId>
            <version>4.0.2</version>
            <!-- <scope>test</scope> -->
        </dependency>
    </dependencies>
</project>

注意

  • 必须添加 https://jitpack.io Maven仓库.
  • 如果使用 JUnit 测试类来运行加密可以将 XJar 依赖的 scope 设置为 test.

加密密码

public static void main(String[] args) throws Exception {
        // Spring-Boot Jar包加密
        XCryptos.encryption()
                .from("D:\\IdeaProjects\\mytools\\xjar-demo\\jars\\proguard-demo-0.0.1-SNAPSHOT.jar")//是需要加密的jar包路径（也可以使用绝对路径）
                .use("123456")//是加密的秘钥
                .include("/**/*.class")
                .include("/**/*.yml")
                .include("/**/*.xml")
                .exclude("/static/**/*")
                .exclude("/templates/**/*")
                .exclude("/META-INF/resources/**/*")
                .to("D:\\IdeaProjects\\mytools\\xjar-demo\\jars\\proguard-demo-0.0.1-SNAPSHOT-encry.jar");//加密后的jar包的存放路径
    }
方法名称参数列表是否必选方法说明
from(String jar)二选一指定待加密JAR包路径
from(File jar)二选一指定待加密JAR包文件
use(String password)二选一指定加密密码
use(String algorithm, int keysize, int ivsize, String password)二选一指定加密算法及加密密码
include(String ant)可多次调用指定要加密的资源相对于classpath的ANT路径表达式
include(Pattern regex)可多次调用指定要加密的资源相对于classpath的正则路径表达式
exclude(String ant)可多次调用指定不加密的资源相对于classpath的ANT路径表达式
exclude(Pattern regex)可多次调用指定不加密的资源相对于classpath的正则路径表达式
to(String xJar)二选一指定加密后JAR包输出路径, 并执行加密.
to(File xJar)二选一指定加密后JAR包输出文件, 并执行加密.
  • 指定加密算法的时候密钥长度以及向量长度必须在算法可支持范围内, 具体加密算法的密钥及向量长度请自行百度或谷歌.
  • include 和 exclude 同时使用时即加密在include的范围内且排除了exclude的资源.

在这里插入图片描述
注意:需要使用agent技术的话,要使用旧的启动脚本(xjar_agentable.go),没有禁用agen

编译脚本

go build xjar.go
go build xjar_agentable.go

在这里插入图片描述
如果报go不是内部或外部命令,请安装一下golang。

windows安装go

'go' 不是内部或外部命令，也不是可运行的程序
或批处理文件。
  • 通过加密成功后XJar会在输出的JAR包同目录下生成一个名为 xjar.go 的的Go启动器源码文件.
  • 将 xjar.go 在不同的平台进行编译即可得到不同平台的启动器可执行文件, 其中Windows下文件名为 xjar.exe 而Linux下为 xjar.
  • 用于编译的机器需要安装 Go 环境, 用于运行的机器则可不必安装 Go 环境, 具体安装教程请自行搜索. windows安装go
  • 由于启动器自带JAR包防篡改校验, 故启动器无法通用, 即便密码相同也不行.

反编译查看加密后的jar包
在这里插入图片描述

原理

对jar的字节码加密 , 启动jar包时调用自定义的类加载器, 重写findClass方法,拿到字节流后,先解密再掉Classloader的defineClass方法,初始化成Class对象

在这里插入图片描述
图片转自 https://blog.csdn.net/qq_35107134/article/details/129407415
如有侵权，请联系删除。

在这里插入图片描述
正常springboot的jar包的Main-Class是Spingboot提供的JarLauncher , 加密后的Springboot的Main-Class指向的是XJar继承JarLaunch的XJarLauncher.

源码结构图

1.加密
在这里插入图片描述

2.解密
在这里插入图片描述
图片转自 https://blog.csdn.net/qq_35107134/article/details/129407415
如有侵权，请联系删除。

启动脚本

/path/to/xjar /path/to/java [OPTIONS] -jar /path/to/encrypted.jar [ARGS]

/path/to/xjar /path/to/javaw [OPTIONS] -jar /path/to/encrypted.jar [ARGS]

nohup /path/to/xjar /path/to/java [OPTIONS] -jar /path/to/encrypted.jar [ARGS]

示例

.\xjar.exe java -jar proguard-demo-0.0.1-SNAPSHOT-encry.jar

说明

  • 在 Java 启动命令前加上编译好的Go启动器可执行文件名(xjar)即可启动运行加密后的JAR包.
  • 若使用 nohup 方式启动则 nohup 要放在Go启动器可执行文件名(xjar)之前.
  • 若Go启动器可执行文件名(xjar)不在当前命令行所在目录则要通过绝对路径或相对路径指定.
  • 仅支持通过 -jar 方式启动, 不支持-cp或-classpath的方式.
    -jar 后面必须紧跟着启动的加密jar文件路径
  • 例子: 如果当前命令行就在 xjar 所在目录, java 环境变量也设置好了
 ./xjar java -Xms256m -Xmx1024m -jar /path/to/encrypted.jar

注意事项

  1. 不兼容 spring-boot-maven-plugin 的 executable = true 以及 embeddedLaunchScript
<plugin>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-maven-plugin</artifactId>
    <!-- 需要将executable和embeddedLaunchScript参数删除, 目前还不能支持对该模式Jar的加密！后面可能会支持该方式的打包. 
    <configuration>
        <executable>true</executable>
        <embeddedLaunchScript>...</embeddedLaunchScript>
    </configuration>
    -->
</plugin>
  1. Spring Boot + JPA(Hibernate) 启动报错问题
    如果项目中使用了 JPA 且实现为Hibernate时, 由于Hibernate自己解析加密后的Jar文件, 所以无法正常启动, 可以采用以下解决方案:
  • clone XJar-Agent-Hibernate , 使用 mvn clean package 编译出 xjar-agent-hibernate-${version}.jar 文件
  • 采用 xjar java -javaagent:xjar-agent-hibernate-${version}.jar -jar your-spring-boot-app.jar 命令启动
  1. 静态文件浏览器无法加载完成问题
    由于静态文件被加密后文件体积变大, Spring Boot 会采用文件的大小作为 Content-Length 头返回给浏览器, 但实际上通过 XJar 加载解密后文件大小恢复了原本的大小, 所以浏览器认为还没接收完导致一直等待服务端. 由此我们需要在加密时忽略静态文件的加密, 实际上静态文件也没加密的必要, 因为即便加密了用户在浏览器 查看源代码也是能看到完整的源码.通常情况下静态文件都会放在 static/ 和 META-INF/resources/ 目录下, 我们只需要在加密时通过 exclude 方法排除这些资源即可, 可以参考以下例子：
XCryptos.encryption()
        .from("/path/to/read/plaintext.jar")
        .use("io.xjar")
        .exclude("/static/**/*")
        .exclude("/META-INF/resources/**/*")
        .to("/path/to/save/encrypted.jar");
  1. JDK-9及以上版本由于模块化导致XJar无法使用 jdk.internal.loader 包的问题解决方案
    在启动时添加参数 --add-opens java.base/jdk.internal.loader=ALL-UNNAMED
xjar java --add-opens java.base/jdk.internal.loader=ALL-UNNAMED -jar /path/to/encrypted.jar
  1. 由于使用了阿里云Maven镜像导致无法从 jitpack.io 下载 XJar 依赖的问题
    参考如下设置, 在镜像配置的 mirrorOf 元素中加入 ,!jitpack.io 结尾.
<mirror>
    <id>alimaven</id>
    <mirrorOf>central,!jitpack.io</mirrorOf>
    <name>aliyun maven</name>
    <url>http://maven.aliyun.com/nexus/content/repositories/central/</url>
</mirror>

2.Maven配置自动加密

Maven项目可通过集成 xjar-maven-plugin 以免去每次加密都要执行一次上述的代码, 随着Maven构建自动生成加密后的JAR和Go启动器源码文件.

xjar-maven-plugin 开源地址

<!-- 设置 jitpack.io 插件仓库 -->
    <pluginRepositories>
        <pluginRepository>
            <id>jitpack.io</id>
            <url>https://jitpack.io</url>
        </pluginRepository>
    </pluginRepositories>
    <!-- 添加 XJar Maven 插件 -->
<build>
    <finalName>xjar-demo</finalName>
    <plugins>
        <plugin>
            <groupId>com.github.core-lib</groupId>
            <artifactId>xjar-maven-plugin</artifactId>
            <version>4.0.2</version>
            <executions>
                <execution>
                    <goals>
                        <goal>build</goal>
                    </goals>
                    <phase>package</phase>
                    <configuration>
                     <!-- optional
                            <algorithm/>
                            <keySize/>
                            <ivSize/>
                            <includes>
                                <include/>
                            </includes>
                            <excludes>
                                <exclude/>
                            </excludes>
                            <sourceDir/>
                            <sourceJar/>
                            <targetDir/>
                            <targetJar/>
                            -->
                        <!-- 密码不建议在pom文件里配置 -->
                        <password>io.xjar</password>
                        <includes>
                            <include>/**/*.class</include>
                            <include>/**/*.yml</include>
                            <include>/**/*.xml</include>
                        </includes>
                        <excludes>
                            <exclude>/static/**/*</exclude>
                            <exclude>/templates/**/*</exclude>
                            <exclude>/META-INF/resources/**/*</exclude>
                        </excludes>
                        <targetJar>${parent.artifactId}-encry.jar</targetJar>
 
                    </configuration>
                </execution>
            </executions>
        </plugin>
 
    </plugins>
   
</build>

打包命令

 mvn clean install -Dxjar.password=密码 -Dmaven.test.skip=true

对于Spring Boot 项目或模块, 该插件要后于 spring-boot-maven-plugin 插件执行, 有两种方式：

  • 将插件放置于 spring-boot-maven-plugin 的后面, 因为其插件的默认 phase 也是 package
  • 将插件的 phase 设置为 install（默认值为：package）, 打包命令采用 mvn clean install

也可以通过Maven命令执行

mvn xjar:build -Dxjar.password=io.xjar
mvn xjar:build -Dxjar.password=io.xjar -Dxjar.targetDir=/directory/to/save/target.xjar

但通常情况下是让XJar插件绑定到指定的phase中自动执行, 这样就能在项目构建的时候自动构建出加密的包.

mvn clean package -Dxjar.password=io.xjar
mvn clean install -Dxjar.password=io.xjar -Dxjar.targetDir=/directory/to/save/target.xjar

打包了之后，运行go build xjar.jar名称生成xjar.exe，然后运行xjar.exe java -jar 包名.jar启动项目

建议

强烈建议不要在 pom.xml 的 xjar-maven-plugin 配置中写上密码，这样会导致打包出来的 xjar 包中的 pom.xml 文件保留着密码，极其容易暴露密码！强烈推荐通过 mvn 命令来指定加密密钥！

参数说明

参数名称命令参数名称参数说明参数类型缺省值示例值
password-Dxjar.password密码字符串String必须任意字符串, io.xjar
algorithm-Dxjar.algorithm加密算法名称StringAES/CBC/PKCS5PaddingJDK内置加密算法, 如：AES/CBC/PKCS5Padding 和 DES/CBC/PKCS5Padding
keySize-Dxjar.keySize密钥长度int128根据加密算法而定, 56, 128, 256
ivSize-Dxjar.ivSize密钥向量长度int128根据加密算法而定, 128
sourceDir-Dxjar.sourceDir源jar所在目录File${project.build.directory}文件目录
sourceJar-Dxjar.sourceJar源jar名称String${project.build.finalName}.jar 文件名称
targetDir-Dxjar.targetDir目标jar存放目录File${project.build.directory}文件目录
targetJar-Dxjar.targetJar目标jar名称String${project.build.finalName}.xjar文件名称
includes-Dxjar.includes需要加密的资源路径表达式String[]无io/xjar/** , mapper/*Mapper.xml , 支持Ant表达式
excludes-Dxjar.excludes无需加密的资源路径表达式String[]无static/** , META-INF/resources/** , 支持Ant表达式
  • 指定加密算法的时候密钥长度以及向量长度必须在算法可支持范围内, 具体加密算法的密钥及向量长度请自行百度或谷歌.
  • 当 includes 和 excludes同时使用时，即加密在includes的范围内且排除了excludes的资源.

更多文档：xjar-maven-plugin

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1995319.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

【学习笔记】用线段树维护区间计数问题

【学习笔记】用线段树维护区间计数问题

前言 简单的区间计数问题可能直接推式子就行了。 但有些问题必须要数据结构维护。线段树就是一个比较好的处理区间的数据结构。 Gym102222L 思路 满足条件的区间特征&#xff1a; max ⁡ { a i } − min ⁡ { a i } 1 − c n t 0 \max\{a_i\}-\min\{a_i\}1-cnt0 max{ai​}…
阅读更多...
uniapp离线打包热更新失败-AndroidStudio离线打包apk后无法下载打开-热更新失败-plus.runtime.install失败

uniapp离线打包热更新失败-AndroidStudio离线打包apk后无法下载打开-热更新失败-plus.runtime.install失败

效果图 仅安卓 前言 1.plus.runtime.install一直fail(20240808), uni.openDocument可以打开本地apk文件 2.权限问题需小心 跑通前提 1.先确定apk地址有效&#xff0c;浏览器中手动下载可安装 2.确保已添加离线打包AndroidStudio的“android.permission.INSTALL_PACKAGES”权…
阅读更多...
初识自然语言处理NLP

初识自然语言处理NLP

文章目录 1、简介2、自然语言处理的发展简史3、语言学理论句法学&#xff08;Syntax&#xff09;语义学&#xff08;Semantics&#xff09;语用学&#xff08;Pragmatics&#xff09;形态学&#xff08;Morphology&#xff09; 4、统计与机器学习方法n-gram 模型隐马尔可夫模型…
阅读更多...
JNPF快速开发平台赋能数字办公方式转变

JNPF快速开发平台赋能数字办公方式转变

随着信息技术的飞速发展&#xff0c;数字化转型已成为各行各业提升效率、优化流程的重要手段。JNPF快速开发平台正是在这样的背景下应运而生&#xff0c;它通过简化开发流程&#xff0c;使得非技术人员也能参与到应用的构建中来&#xff0c;从而加速了数字办公方式的转变。 数字…
阅读更多...
解决r2dbc连mysql时timestamp字段的时区问题

解决r2dbc连mysql时timestamp字段的时区问题

现象&#xff1a; 在两个mysql库用相同SQL都建了某表&#xff0c;都有created_at字段&#xff1a; created_at timestamp NULL DEFAULT CURRENT_TIMESTAMP COMMENT 创建时间, 。但是在往此表insert记录时&#xff0c;B库的created_at字段比当前时间慢了8个小时&#xff0c;而A…
阅读更多...
MySQL学习（19）：锁

MySQL学习（19）：锁

1.什么是锁 锁是计算机协调多个进程或线程并发访问某一资源的机制。 在数据库中&#xff0c;数据是供许多用户共享的资源&#xff0c;数据库必须保证数据并发访问的一致性、有效性&#xff0c;这就要靠锁来协调实现。 MySOL中的锁&#xff0c;分为以下三类&#xff1a; &am…
阅读更多...
深度学习基础 - 向量投影

深度学习基础 - 向量投影

深度学习基础 - 向量投影 flyfish 给定两个向量 a \mathbf{a} a 和 b \mathbf{b} b&#xff0c;我们想要计算 a \mathbf{a} a 在 b \mathbf{b} b 上的投影。 点乘 (Dot Product) 点乘是一个标量&#xff0c;表示两个向量在相同方向上的程度。公式为&#xff1a; a ⋅ b …
阅读更多...
行为验证码热门行业解决方案

行为验证码热门行业解决方案

行为式验证码是一种较为流行的验证码。从字面来理解&#xff0c;就是通过用户的操作行为来完成验证&#xff0c;而无需去读懂扭曲的图片文字&#xff0c;以下是常见的案例。 ​​热门行业解决方案 教育解决方案 教育资源不断线上化&#xff0c;使得违法违规内容风险不断提高&…
阅读更多...
最近在西安召开的学术会议：EI检索超快，信息系统与计算技术领域！

最近在西安召开的学术会议：EI检索超快，信息系统与计算技术领域！

第十二届信息系统与计算技术国际会议&#xff08;ISCTech 2024&#xff09;将于2024年11月8日-11月11日在中国西安盛大举行&#xff0c;由长沙理工大学主办&#xff0c;同济大学、西北工业大学联合协办。会议聚焦信息系统与计算技术等相关研究领域&#xff0c;广泛邀请国内外知…
阅读更多...
货运物流App项目开发功能介绍

货运物流App项目开发功能介绍

货运小程序通常具备多种功能&#xff0c;以便于用户管理和跟踪货物运输。以下是一些常见的功能介绍&#xff1a; 注册和登录&#xff1a; 用户可以通过手机号码或邮箱注册并登录账户。 货物发布&#xff1a; 用户可以创建货运订单&#xff0c;填写货物信息&#xff08;如品名、…
阅读更多...
Proxmox vzdump backup ct vm

Proxmox vzdump backup ct vm

vzdump 参考 vzdump 备份参数参考 创建一键Proxmox vzdump 备份ct 虚拟机 vzdump 备份参数参考vmid 105 106 22-29行是环境变量，根据主机的实际情况更改ct 模板默认下载目录/var/lib/vz/template/cache所有备份默认目录/var/lib/vz/dumpiso 存放/var/lib/vz/template/iso# -*…
阅读更多...
【扒代码】CCFF跨尺度特征融合

【扒代码】CCFF跨尺度特征融合

import torch import torch.nn as nn import torch.nn.functional as Fclass RepVggBlock(nn.Module):def __init__(self, ch_in, ch_out, actrelu):super().__init__()self.ch_in ch_in # 输入通道数self.ch_out ch_out # 输出通道数# 第一个卷积层&#xff0c;使用 3x3 卷…
阅读更多...
iOS ------ UIKit相关

iOS ------ UIKit相关

UIView和CALayer UIView UIView表示屏幕上的一块矩形区域&#xff0c;它是基本上iOS中所有可视化控件的父类。UIView可以管理矩形区域里的内容&#xff0c;处理矩形区域的事件&#xff0c;包括子视图的管理以及动画的实现。 UIKit相关类的继承关系 UIView继承自UIResponde…
阅读更多...
封装加载（raect18+antd）

封装加载（raect18+antd）

该组件主要是anted的组件中自带的loading属性&#xff0c; 1、封装loading组件 import React from react;function WithLoading(WrappedComponent: React.ComponentType<any>) {return (props: any) > {const [isLoading, setIsLoading] React.useState(true);Reac…
阅读更多...
基于JAVA的高考智能排考场系统设计与实现，源码、部署+讲解

基于JAVA的高考智能排考场系统设计与实现，源码、部署+讲解

绪 论 随着教育规模的不断扩大和技术的进步&#xff0c;传统的考试管理方式面临着诸多挑战&#xff0c;如考试安排的复杂性、作弊现象的频发以及考试过程中的监督和管理等问题。因此&#xff0c;针对这些挑战&#xff0c;智能排考系统应运而生。 智能排考系统利用先进的技术…
阅读更多...
接口基础知识5：详解request headers（一篇讲完常见字段）

接口基础知识5：详解request headers（一篇讲完常见字段）

课程大纲 一、请求头的定义 HTTP请求头部&#xff08;HTTP Request Headers&#xff09;&#xff1a;HTTP协议中的一部分&#xff0c;用于在客户端和服务器之间传递附加信息。这些头部字段提供了关于请求、客户端环境、或请求的上下文的信息。 请求头是键值对的形式&#xff…
阅读更多...
day04-套餐管理

day04-套餐管理

完成套餐管理模块所有业务功能&#xff0c;包括&#xff1a; 新增套餐套餐分页查询删除套餐修改套餐起售停售套餐 要求&#xff1a; 根据产品原型进行需求分析&#xff0c;分析出业务规则设计接口梳理表之间的关系&#xff08;分类表、菜品表、套餐表、口味表、套餐菜品关系…
阅读更多...
element plus el-select修改后缀图标

element plus el-select修改后缀图标

使用 element plus 提供的api 默认为&#xff1a; 修改后为&#xff1a; 方法&#xff1a; <el-select v-model"value" placeholder"Select" size"large" style"width: 120px;":teleported"false" :suffix-icon"…
阅读更多...
图数据库Neo4j的调研

图数据库Neo4j的调研

图数据库Neo4j的调研 一、neo4j基础概述 概述 neo4j作为当下最热门的图数据库之一&#xff0c;他的底层实现是java语言&#xff0c;所以安装的时候必须有jre环境。并且neo4j是根据计算机中图论理论来实现的。 neo4j图数据库主要有以下组成元素&#xff1a;&#xff08;具体…
阅读更多...
Kibana,Docker Remote Api，Kubernetes Api Server我未授权访问漏洞（附带修复方法）

Kibana,Docker Remote Api，Kubernetes Api Server我未授权访问漏洞（附带修复方法）

一.Kibana Kibana是⼀个开源的分析与可视化平台&#xff0c;设计出来⽤于和Elasticsearch⼀起使⽤的。你可以⽤kibana搜索、查看存放在Elasticsearch中的数据。Kibana与Elasticsearch的交互⽅式是以各种不同的图表、表格、地图等直观地展示数据&#xff0c;从⽽达到⾼级的数据分…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023