|
0.1 读者对象
菜鸟入门 ，大牛们不用进了。呵呵 0.2 参考文档 《Think in Java 2E》 《The JavaTM Virtual Machine Specification》 0.3 术语与缩写解释 缩写、术语 解 释
1. 背景介绍 研究SafeNet和Wibu的Java程序保护功能的实现。 2. 技术研究目标 掌握Java外壳的实现原理。 3. 技术研究取得的工作成果 概述：Java的编译、运行、打包、调试和运行机制
运行机制说明  图1 3.1 WiBu的外壳保护(AxProtector6.40) 图2 图3 以上是威步AxProtector的Java保护相关的功能界面，其中， 防调试：JVMPI检测、Callback检测：防止执行期监视到class的字节码； 基于类的加密： 黑白名单：默认是加密main类，可选加密其他的类； 重命名加密后的类：文件自动加.wibu扩展名； 总体思路是对整个.class文件加密，然后提供ClassLoader， 配合Native代码在执行期解密。 实测情况如下： 原始包test.jar 加壳后protect.jar 说明 原包中文件都在，其中.class文件被加密，其他文件的名字和内容都没有变。 新增了com/wibu目录，多出了许多类， 其中ClassLoader.class.wibu是加密的，其他类可反编译出源码。 com/wibu/xpm/encrypted文件记录了被加密的类；vm.properties列出了虚拟机的参数，应是执行期检测所用。 原Manifest.fm文件指定MainClass： com.sun.sample.scriptpad.Main 加壳后Manifest.fm文件MainClass： com.wibu.xpm.Wrapper 也就是jar包入口点变成了xpm.Wrapper，到这里后，再调用原来的入口。 运行机制：外壳从xpm.Wrapper开始运行，先调用Native代码(dll)加载自己提供的ClassLoader，再使用后者解密并加载原包，没有发现混淆等其他处理。 详细信息和调试过程见附录D 3.2 SafeNet的保护功能(Envelope5.1) 图xx 功能概述: 基于方法的保护，先在左边列表框中勾选要保护的方法，右边指定对该方法的加密选项。 1、 FeatureID、Frequency: 加密锁验证，License检测用； 2、 String encryption: 对类名、方法名称加密； 3、 Cache expiration: 执行期每隔一段时间，重新动态生成加密类； 4、 Code obfuscation: 流程混淆、代码扰乱等； 5、 Symbol obfuscation: 对变量名称等符号混淆 限制： 构造函数不能保护； public方法和静态方法不能符号混淆 实测情况如下： 在内存中抓取动态生成的类代码，发现是混淆过的，对比如下；调试过程见附录E。 源程序SaveClass.java： 脱壳后的class文件有4个，一个是总壳（下图左侧），其他3个是原程序中的3个函数，都自占一个类。（下图右侧，类名方法名都是动态生成的） 总结： 通过动态生成，防止了静态反编译；（上图右面的代码不在jar包的class文件中） 通过每次调用动态生成，防止了一次从内存中抓到全部的字节码映像； 通过符号混淆，隐藏原设计。（如上图左侧F786B31A...函数，原为私有的priSaveIt） 通过流程扰乱，隐藏原设计。（如上图右下，priSaveIt的对应物，对f.write和 f.close的调用被拆散到新增的两个函数中）。 通过直接插入字节码(跳转、堆栈操作、废指令)，迷惑反编译器（如上图红框中部分， 对照字节码，实际分别是this.name=s和goto 103/废指令(不可到达的代码)）。 通过使用关键字作为符号名称，使调试更为困难。 附录A：辅助工具 名称 主要用途 说明 Jad1.5.8g 将.class文件反编译为源代码 命令行字符界面，用法： Jad [-r][-a][-f] my.class 由于字节码的文件格式中，包含各种明文符号表， 未经保护的普通.class文件几乎可以被完全还原为源代码。 输出my.jad文件，改名为.java即可察看和编译 -r参数是保留原有的package相对路径。 -a参数是提供字节指令作为注释。 -f参数是提供所有外部引用的全称类名。 proGuard jasmin 附录B：虚拟机原理 JVM 模型 class文件格式 struct const_pool { ushort const_cnt_plus1; struct { byte tag; //1=Utf8, 7=class, 8=string, 9=FieldRef, A=MethodRef... byte data[depend_on_tag]; } consts[const_cnt]; }; 类型的编码规则 I: 整数; J: long; S:short; Lclassname:对象 函数原形编码规则 (参数类型;参数类型;...)[返回值类型|V表示void] 例如clsIdx=03, n&t= append,-(Lj/l/String;)Lj/l/StringBuilder; 表示 StringBuilder StringBuilder.append(java.lang.String); 一个class文件的例子 constant pool 索引 Tag(类型) 说明 (蓝色是解析一次索引得出, 青色是解析两次索引得出) 1 A(mthRef) clsIdx=0A(java/lang/Object), n&tIdx=14(<init>,()V) 2 9(fldRef) clsIdx=15(java/lang/System), n&tIdx=16(out,Ljava/io/PrintStream;) 3 7(Class) nameIdx=17 (java/lang/StringBuilder) 4 A(mthRef) clsIdx=03(java/lang/StringBuilder), n&tIdx=14(<init>,()V) 5 8(String) nameIdx=18 (Hello ) 6 A(mthRef) clsIdx=03, n&tIdx=19 (append,-(Lj/l/String;)Lj/l/StringBuilder;) 7 A(mthRef) clsIdx=03, n&tIdx=1A (toString, ()Ljava/lang/String;) 8 A(mthRef) clsIdx=1B(java/io/PrintStream), n&tIdx=1C(println,(Lj/l/String;)V) 9 7(Class) nameIdx=1D(com/world/hello) A 7(Class) nameIdx=1E(java/lang/Object) B 1(Utf8) "<init>" C 1(Utf8) "()V" D 1(Utf8) "Code" E 1(Utf8) "LineNumberTable" F 1(Utf8) "main" 10 1(Utf8) "([Ljava/lang/String;)V" 11 1(Utf8) "StackMapTable" 12 1(Utf8) "SourceFile" 13 1(Utf8) "hello.java" 14 C(n&t) nameIdx=0B, descIdx=0C 15 7(Class) nameIdx=1F 16 C(n&t) nameIdx=20, descIdx=21 17 1(Utf8) "java/lang/StringBuilder" 18 1(Utf8) "Hello " 19 C(n&t) nameIdx=22, descIdx=23 1A C(n&t) nameIdx=24, descIdx=25 1B 7(Class) nameIdx=26 1C C(n&t) nameIdx=27, descIdx=28 1D 1(Utf8) "com/world/hello" 1E 1(Utf8) "java/lang/Object" 1F 1(Utf8) "java/lang/System" 20 1(Utf8) "out" 21 1(Utf8) "Ljava/io/PrintStream;" 22 1(Utf8) "append" 23 1(Utf8) "-(Ljava/lang/String;)Ljava/lang/StringBuilder;" 24 1(Utf8) "toString" 25 1(Utf8) "()Ljava/lang/String;" 26 1(Utf8) "java/io/PrintStream" 27 1(Utf8) "println" 28 1(Utf8) "(Ljava/lang/String;)V" Methods[1] struct method_info { 值 u2 access_flags; 09 (static | public) u2 name_idx; 0F (main) u2 desc_idx; 10 ([Ljava/lang/String;)V) = void ()(String[]) u2 attr_cnt; 01 struct code_attr { u2 name_idx; 0D (code) u4 attr_len; 5D u2 max_stack; 04 u2 max_local; 02 u4 code_len; 2A u1 code[code_len]; 03 3C 1B 2A BE A2 00 24-B2 00 02 BB 00 03 59 B7 00 04 12 05 B6 00 06 2A-1B 32 B6 00 06 B6 00 07 B6 00 08 84 01 01 A7 FF-DC B1 (解释见下表) u2 except_tbl_len; 00 e[except_tbl_len]; u2 attr_cnt; 02 u2 name_idx; 0E (LineNumberTable) u4 attr_len; 12 u2 tbl_len; 04 u4 map[tbl_len] 0->5 8->6 23->5 29->8 u2 name_idx; 11 (StackMapTable) u4 attr_len; 09 (JVM1.6中新增属性,与执行期基本无关) }}}; 上述方法的字节码: 地址 指令 助记符 执行后当前堆栈 源代码 00 03 iconst_0 i (未初始化) (String[])args RetAddr (int)0 for( int i=0; i < args.length; i++) { 01 3c istore_1 i (=0) (String[])args RetAddr 02 1b iload_1 i (String[])args RetAddr (int)0 03 2a aload_0 i (String[])args RetAddr (String[])args (int)0 04 be arraylength i (String[])args RetAddr (int)(args.length) (int)0 05L1: a2 00 24 if_icmpge L2 i (String[])args RetAddr 08 b2 00 02 getstatic i (String[])args RetAddr system.out System.out.println( "Hello "+args[i]); } 0B bb 00 03 new StringBuilder i (String[])args RetAddr StringBuilder(未初始化) system.out 0E 59 dup i (String[])args RetAddr StringBuilder(未初始化) StringBuilder(未初始化) system.out 0F B7 00 04 invokespecial <init> i (String[])args RetAddr StringBuilder(null) system.out 12 12 05 ldc i (String[])args RetAddr (String)"Hello " StringBuilder(null) system.out 14 B6 00 06 invokevirtual append i (String[])args RetAddr (StringBuilder)"Hello " system.out 17 2a aload_0 i (String[])args RetAddr (String[])args (StringBuilder)"Hello " system.out 18 1b iload_1 i (String[])args RetAddr (int)i (String[])args (StringBuilder)"Hello " system.out 19 32 aaload i (String[])args RetAddr (String)(args[i]) (StringBuilder)"Hello " system.out 1A B6 00 06 invokevirtual append i (String[])args RetAddr (StringBuilder)"Hello?" system.out 1D B6 00 07 invokevirtual toString i (String[])args RetAddr (String)"Hello?" system.out 20 B6 00 08 invokevirtual println i (String[])args RetAddr 23 84 01 01 iinc local1,1 i (String[])args RetAddr 26 A7 FF DC goto L1 29L2: B1 return 附录C：调试技术 首先,需要准备源代码,并将其-g编译以提供debug信息； 下断点有两种方式：stop in 类名.方法名 和 stop at 类名：行号；后一种方式需要提供源代码文件； 单行、查看参数和局部变量都需要有编译器调试信息支持，而查看this成员变量不需要； 欲调试没有源代码的类，可以先观察其调用的运行库等，然后-g编译对应的运行库相关函数，调试时在运行库中下断点，间接取得执行期部分变量的值。 重新编译或patch运行库：从jdk\src.zip中提取对应的源代码,修改，-g编译之,然后jar -cvfm重新打包，覆盖jdk\jre\lib\rt.jar. 如果方法是重载的，则简单下断点会有问题；可以用methods命令查看所有方法的原形，然后用stop in 类名.方法名(参数列表)来下断点。 遇到invokevirtual时要仔细，可结合上下文、print命令和跟踪等，获得对象的实际类型，以免被多态所欺骗而跑飞。 类的外部接口终究要保存在class文件的constant pool中，因此，若想在整个jar包中寻找是哪个类调用了某个外部接口，可以以不压缩方式重打jar包，然后Hex编辑器搜索那个字符串，再搜索CaFeBaBe，对应起来即知。 附录D：威步的调试过程 测试步骤 发生现象 说 明 其他机器上，运行加壳的包 提示找不到某个DLL 察看Wrapper.class反编译源代码， 得知是system32\wibuXpm4J32.dll Depends工具查上述DLL 得到8个导出函数的地址 其中有函数名为ClassLoader UltraEdit修改上述DLL, 将ClassLoader函数入口处字节改为0xCC WinDbg调试 JavaW.exe -jar protect.jar 时在该处断下。 CS：EIP = 0x20011B20 在内存中搜索ClassLoader.class.wibu文件内容，下读写访问断点 断下，CS:EIP = 0x20021640 察看调用堆栈，发现AES算法和字节表 继续跟踪解密，但结果还不是class码 AES参数：11轮，128位密钥，CBC方式 初始密码："AxProtector/Java" 在解密出的数据下访问断点 断下，CS:EIP = 0x2001D930 发现LZW解压缩代码 继续跟踪，保存解压后数据，反编译 得到wibu的ClassLoader源代码 继续执行 在导出函数入口处断点又触发 重复跟踪解密解压 得到原jar包Main.class代码 未发现混淆处理，反编译，脱壳成功。 附录E：SafeNet的调试过程 步骤 现象/结果/说明 jdb -classpath e:\test.jar;e:\ 正在初始化jdb... E:\test.jar即SafeNet加壳后的包 E:\java指向运行库源代码,调试信息 >stop in javax.script.ScriptEngineManager.init ScriptEngineManager为目标程序使用的外部接口 >run com/sun/sample/scriptpad/Main 断点命中： "thread=main", javax.script.ScriptEngineManager.init(), line=73 bci=0 >where 注意输出结果中的[7]和[3]，它们之间是动态代码 [1] javax.script.ScriptEngineManager.init (ScriptEngineManager.java：73) [2] javax.script.ScriptEngineManager.<init> (ScriptEngineManager.java：51) [3] DYTAX1FyX6fnllWf.MrmuYWh6v2ZTFkk8未知 [4] sun.reflect.NativeMethodAccessorImpl. invoke0 (本机方法) [5] sun.reflect.NativeMethodAccessorImpl. invoke (NativeMethodAccessorImpl.java：39) [6] sun.reflect.DelegatingMethodAccessorImpl. invoke(DelegatingMethodAccessorImpl.java：25) [7] java.lang.reflect.Method.invoke (Method.java：597) [8] com.aladdin.nemesis.a.do (uc：73) [9] com.aladdin.nemesis.d.b.do (k：344) [10]com.aladdin.nemesis.d.a.do (j：80) [11]com.aladdin.nemesis.JANemsis.aldn_ 1989undnochda_mwtbdltr (vc：119) [12]com.sun.sample.scriptpad.Main.main (null) >stop in java.lang.reflect.Method.invoke >run ... >print this this = "public static void DYTAX1FyX6fnllWf.MrmuYWh6v2ZTFkk8( java.lang.String[]) throws java.lang.Exception" 可见this正是[3]步中要调用的函数，但多次调试同一jar包，this的名称却不一样，可见它是动态生成的。 >class DYTAX1FyX6fnllWf >fields DYTAX1FyX6fnllWf >methods DYTAX1FyX6fnllWf 类：DYTAX1FyX6fnllWf 扩展：java.lang.Object ** 字段列表为空 ** ** 方法列表 ** DYTAX1FyX6fnllWf <init>() MrmuYWh6v2ZTFkk8(java.lang.String[]) java.lang.Object <init>() ... （一系列Object的方法） java.lang.Object getClass() 多次调试同一jar包，只有类和那个静态方法的名称不一样，其他接口参数和名称相同。 写一个测试程序hello.java，察看reflector的使用 package com.world; import java.lang.reflect.*; class test_refl { public static void random(String[] args){ for(int i=0; i<args.length; i++) System.out.println(args[i]); } } public class hello { public static void main(String[] args) throws Exception { Class class1 = test_refl.class; Method methods[] = class1.getDeclaredMethods(); for(int j=0; j<methods.length; j++) { if( methods[j].getName().equals("random")) methods[j].invoke(null, (Object)args); } for(int i=0; i<args.length; i++) System.out.println("Hello "+args[i]); } } >stop in com.world.test_refl.random >wherei [1] com.world.test_refl.random (hello.java：8), pc = 0 [2] sun.reflect.NativeMethodAccessorImpl. invoke0 (本机方法) [3] sun.reflect.NativeMethodAccessorImpl.Invoke (NativeMethodAccessorImpl.java：39), pc=87 [4] sun.reflect.DelegatingMethodAccessorImpl. invoke(DelegatingMethodAccessorImpl.java25), pc=6 [5] java.lang.reflect.Method.invoke (Method.java：597), pc = 161 [6] com.world.hello.main (hello.java：24), pc = 43 发现[2]~[5]与加壳包的[4]~[7]一样，可认为只是使用了普通的反射接口，这里没有做手脚。 那个类是怎样生成出来的？ > stop in com.aladdin.nemesis.a.do > run ... > stop at java.lang.ClassLoader:466 > cont > locals 方法参数： name = "GBeKwfkHswafuLV4" b = instance of byte[28574] (id=447) off = 0 len = 28574 > print b[0] > print b[1] ... CA FE BA BE 00 00 00 31|经观察，基本上是加壳 00 6E 0A 00 18 00 32 07|后的main.class内容 00 33 0A 00 02 00 32 08|略有出入，下文比较。 磁盘上main.class文件 内存中的这个类 数据量（字节数） 28477 28574 const pool项数 0x5F 0x6E const_pool[5E] 01 68 F0 7F 7F ... 7F 相同 const_pool[5F] 01 00 04 43 6F 64 65 Utf8"Code" const_pool[60] Utf8 "java/lang/Object" const_pool[61] Utf8 "<init>" const_pool[62] Utf8 "()V" const_pool[63] Class "java/lang/Object" const_pool[64] n&t void <init>(void) const_pool[65] mthRefjava/lang/Object.<init> const_pool[66] Utf8 "<init>" const_pool[67] Utf8 "()V" const_pool[68] Utf8 "LyK6SOAcqVROpuS8" const_pool[69] Utf8 "([Ljava/lang/String;)V" const_pool[6A] Utf8 "GBeKwfkHswafuLV4" const_pool[6B] Class "GBeKwfkHswafuLV4" const_pool[6C] Utf8 "java/lang/Object" const_pool[6D] Class "java/lang/Object" access_flags @6E18, 21 @6EB5, 21 this const_pool[0D] GBeKwfkHswafuLV4 super const_pool[18] java/lang/Object interface_cnt field_cnt method_cnt 0 0 3 0 0 2 method[0] 略 public void <init>(void) code=17 max_stack =1, max_local =2, code[5]=2A B7 00 65 B1 super(this); return; method[1] 防止编译:函数重载 防止反编译:插入机器指令 防止调试: 使用java关键字 加入废代码扰乱视线 多态 代码混淆 public static void LyK6SOAcqVROpuS8(String[]) throws(Exception) code=74, max_stack=3, max_local=3 00: BB 00 02 new 2 04: 59 dup 06: B7 00-03 invokespecial 3 0A: 4C astore_1 0C: 2B aload_1 0E: 12 04 ldc 4 11: B6 00 05 invokevirtual 5 15: 4D astore_2 17: 2C aload_2 19: 12 06 ldc 6 1C: 2C aload_2 1E: B9 00 07 03 00 invokeinterface 7,3 23: 2C aload_2 25: 12 08 ldc 8 28: B8 00 09 invokestatic 9 2C: 2C aload_2 2E: 12 0A ldc 0A 31: B8 00 09 invokestatic 9 35: 2C aload_2 37: 12 0B ldc 0B 3A: B8 00 09 invokestatic 9 3E: 2C aload_2 40: 12 0C ldc 0C 43: B8 00 09 invokestatic 9 47: B1 return 剩余字节都是废的，每条指令与原main函数中的一样，只是都插入一个nop。对const_pool的引用及const_pool对应索引的内容也一样。 动态生成的类型存在那个文件? 将整个jar包解出来,然后以不压缩方式重新打包, 用UltraEdit察看包,区分大小写搜索"File",发现 java/io/File java/util/zip/ZipFile java/io/FileInputStream 字样各出现几处,再Hex搜索"CA FE BA BE"，将发现的位置与上述对应以下，锁定了以下几个类： com/aladdin/nemesis/b/a.class com/aladdin/nemesis/b.class com/aladdin/nemesis/c/a.class 然后jad观察、jdb下断点观察 断点命中： [1] java.util.zip.ZipFile.getInputStream (ZipFile.java：180) [2] com.aladdin.nemesis.g.a.do (q：300) [3] com.aladdin.nemesis.d.a.do (j：129) [4] com.aladdin.nemesis.JANemsis.aldn_1989 (vc：119) [5] com.sun.sample.scriptpad.Main.main >print entry.name "SFNT/A04E68FF9DC2DEF03319SE0A73C11902.neurom" 类似的文件共有5个，都在SFNT目录下，在不同的位置被打开。 jad静态分析，知读出的文件由a.a.a.b.do()处理。 读文件: util.zip.InflaterInputStream.read() 静态分析发现，其解密算法较繁琐，且无法直接重新编译回去进行调试，算法中使用的外部接口只有arraycopy. arraycopy是native函数，断不了。 故修改运行库，添加System.arraycopY函数， 再修改b.class，将引用arraycopy改为arraycopY. 下断点，观察。 >stop at java.lang.System:456 >cont 断点命中：... >where [1] java.lang.System.arraycopY (System.java：456) [2] com.aladdin.a.a.a.b.do (xc：385) [3] com.aladdin.nemesis.g.a.do (q：74) [4] com.aladdin.nemesis.d.a.do (j：70) [5] com.aladdin.nemesis.JANemsis.aldn_1989 [6] com.sun.sample.scriptpad.Main.main >locals 方法参数： src = instance of byte[72] (id=407) srcPos = 0 dest = instance of byte[8] (id=408) destPos = 0 length = 8 查找堆栈得知，这是 .neurom文件，原长88/解密72。 00 00 00 01 "com.sun.sample.scriptpad" 00 "Main" 00 "main" 00 "([Ljava/lang/String;)V 11 dup(0) .neurot文件，原长1000/解密1000 01 00 00 00 00 00 00 01 ,wQjml/6hXnnfwH ... .neurox文件，原长5664/解密5664 00 00 00 01 L"Sentinel HASP Protection System" 00 00 00 00 00 03 L"Could not find H" ... .neuroc文件，原长28208/解密28208 "com.sun.sample.scriptpad" 00 "Main" 00 00 00 00 5F 0A 00 18 00 32 07 00 33 0A 00 02 00 32 08 28208=0x6e18+32-sizeof(cafebabe00000032) .neuron文件，原长250/解密224 00 00 00 BC 00 09 00 20 00 21 00 02 00 1B 00 00 00 A4 00 03 00 03 00 00 00 4A BB 00 02 00 59 00 ... 快速脱壳法: patch java.lang.ClassLoader.java protected final Class<?> defineClass( String name, byte[] b, int off, int len) throws ClassFormatError { if (16 == name.length()) saveFile(name, b); return defineClass(name,b,off,len,null); } protected void saveFile(String name, byte[] b) { try { FileOutputStream f = new FileOutputStream(name); f.write(b); f.close(); } catch (Exception e){} } 然后直接运行带壳的jar包,则每个动态生成的类都会 被存成文件放在当前目录下. 2011/08/11 21,073 UjpCHY08VKiqvlKD 2011/08/11 21,011 YK4b2fBIorNcyq71 2011/08/11 21,143 GQwav22YHnxWzwMq 再用jad分别处理即可. 附录F Java对象的内部表示和字节码运行细节 按Java虚拟机规格书所述，任何“对象”都是使用Reference来操作，不限制具体的实现方式。但在字节码的分析中， 可以把对象的reference想象成一个指针， 指向一个结构， 结构的成员就是类的methods和fields， 结构中，父类的对象放在最前面，因此super的“值”等于this，只是类型不一样。 如上图，右面是想象的C表示。 对于构造函数： 每个类都必须有至少一个构造函数； 如果源代码中没有构造函数，则编译器会自动生成一个没有参数的默认构造函数； 构造函数的内部名称都是“<init>”； 编译器会在任何构造函数中插入代码，使其执行顺序如下： 调用父类构造函数； 初始化各成员变量； 源代码中给出初值的，按源代码初始化; （源代码中没初值的，已在构造函数之前由系统自动初始化为0或null） 构造函数源代码中的语句； 上图左边是源代码，右边是编译后的示意代码。 其他方法（函数）： 所有非静态方法，在内部都有一个额外的参数this，在参数列表中排最前。 关于内部类(InnerClass)： 内部类可以声明在类定义中、函数中，可以有名字，也可以匿名，还可以是静态的； 在非静态的情况下，内部类的实现大致如下： 1、 和其他类一样，内部类编译后也拥有自己的class文件，名称是外部类名$内部类 名，如果是匿名，则为外部类名$1等依次类推。 2、 内部类有一个隐含的成员变量this$0，类型是外部类。故必须有外部类的对象才能 够获得内部类的对象。 3、 内部类的默认构造函数至少有两个参数，第一个类型是内部类，第二个类型是外部类， 构造函数执行时，先将第二参数值赋给this$0，然后调父类构造等常规动作。 4、 内部类与外部类并没有继承等其他关系，内部类的父类就是源代码中明确声明的它 的父类，如果没有明确指定，则为Object。内部类通过this$0访问外部类的成员 5、 特定情况下编译器会暗自产生匿名内部类，例如下图左的源代码： 编译后产生的内部指令，相当于上图右的。 可见，“通过public方法导出private类型”（内部类是私有的，而方法cont是公共 的），就会产生一个匿名内部类$1。因为私有的内部类，其构造函数也是private， 不能直接调用?编译器就重载了一个，访问权限变为friendly，参数也多了一个，多 出来的参数正是匿名类（可能是防止源代码中正好有同样的参数列表）。 异常处理 每个catch(ExceptType){Handling}块在class文件中,都登记在它所在方法的method_info的code_attribute的exception_table的一项. struct { u2 start_pc; //对应try块起始的字节码在函数体内的偏移 u2 end_pc; //对应try块结束~ u2 handler_pc; //catch块起始~ u2 catch_type; //catch的异常类型在const_pool中索引 } exception_table[exception_table_length]; 此外,每个用throws声明了可能抛出异常的函数, method_info中会有一项exceptions_attribute, 标明所有可能抛出的异常. Struct Exceptions_attribute { u2 number_of_exceptions; u2 exception_index_table[number_of_exceptions];} 而如果有finally语句，编译器会为匹配的try块添加一个catch(any)块，内容是先执行finally里面的语句，然后将当前异常重新throw，这样，对于当前函数没有catch到的异常，还是先执行finally，然后再向上抛。而try块尾、try块中的return和其他原有的catch块，每个的处理代码后，都被编译器自动加上执行finally. 总的执行顺序是： try - catch - finally (如果捕捉到) try - finally - 上级catch (若没捕捉到) try - finally (没发生异常，无论try块执行完或中途return) 字节码invoke JVM的字节码中，用于调用函数（方法）的指令共有4个，分别为 invokevirtual (调用一个instance method, 当前对象在编译时类型为class) invokeinterface(调用一个interface method, 当前对象编译时类型为interface) invokespecial (调用一个构造函数或私有函数) invokestatic (调用一个静态函数) 这四个指令的第一操作数都是方法名称在常量池中的索引，invokeinterface还有额外的两个操作数，其他三个指令都只有一个操作数。 Invoke之前，参数压栈的先后顺序与参数列表一致(invokestatic不需要压this，其他三个指令最先压this)。 控制转移到目标方法后，原堆栈帧中的参数都被pop再重新push到当前堆栈帧，成为局部变量，先后次序也与参数列表一致(除静态方法外，其他方法的local var0都是this) 目标方法返回时，执行一组return指令中的一个，视其返回值类型而定： return指令 (void) ireturn指令 (int) areturn指令 (reference)等， 如果有返回值，则areturn/ireturn等指令将返回值放回原堆栈帧的栈顶，若调用者不要返回值，编译器会生成一个pop指令抛弃之。 long和double数据类型的特别处理： 他们总是占用两个JVM word，常量池中占两项，堆栈单元也占两个，须注意。 stackMapTable 附录G：SafeNet的查锁线程 提要: SafeNet保护程序会在动态生成派遣函数中生成两个线程,其中一个是检测加密锁是否存在,另一个可能是监控用的. 若检测不到加密锁,会出提示并冻结其他线程. 测试步骤： 1、 将如下代码保存为hello.java并编译、打包为hello.jar： package world; public class hello { public static void main(String[] args) { try { Thread.sleep(999999); } catch (Exception e) {} } } 2、 使用SafeNet Envelop对hello.jar进行保护，默认设置，除查锁间隔设为5秒外。 3、 运行保护后jar包，用jvisualVM工具观察，比未保护的jar包多两个线程： 4、 jvisualVM的线程dump： 5、 用jad对nemesis/e/c.class和nemesis/s/c.class进行反编译，找到创建线程的代码 6、 JDB调试： 见下图，分别拦截到两个启动线程的调用 都是在JANemsis.aldn_1989...函数中发生的，参照附录E可知，该函数是运行时生成的派遣函数。 7、 jad对nemesis.JANemsis.class和nemesis.d.a.class反编译。发现类似例行检查的机制 若线程不存在，则创建之。 |
| http://bbs.pediy.com/showthread.php?p=1099340 |