替换 .class 文件中的“字符串”是否安全？还是重新编译更好？

Question

主要问题是：在*.class 文件（java 编译的类）中更改一些“字符串”信息是否安全。

我正在做的是：

使用正则表达式，我试图在某个已编译项目中查找所有 IP 地址字符串"

find . -type f | xargs grep -E "[0-9]{3}\.[0-9]{3}\.1\.[0-9]{0,3}"

这个命令告诉我一些二进制文件与我的正则表达式匹配。它指出这个二进制文件是.jar 和.class。当我使用vi 打开那些.class 文件时，我可以在这个二进制垃圾中看到很多奇怪的字符以及类似“http://192.168.1.111”的东西。

我的最终任务是将所有 IP 地址（使用 sed -i）替换为 FQDN。

安全吗？还是只有反汇编所有项目并重新编译的可行解决方案？

---

在答案之后添加。

我是这样测试的：

创建 Change.java

public class Change {

    public static String CHANGE_ME="SOME_TEST_STRING";

    public static void main (String[] argv){
        System.out.println(CHANGE_ME);
    }
}

运行它并在终端中看到它

$ java Change
SOME_TEST_STRING

编译并运行替换：

sed -i 's/SOME_TEST_STRING/AAAAA/g' Change.class

在此之后再次运行

$ java Change 
Exception in thread "main" java.lang.ClassFormatError: Illegal UTF8 string in constant pool in class file Change
    at java.lang.ClassLoader.defineClass1(Native Method)
    at java.lang.ClassLoader.defineClass(ClassLoader.java:760)
    at java.security.SecureClassLoader.defineClass(SecureClassLoader.java:142)
    at java.net.URLClassLoader.defineClass(URLClassLoader.java:455)
    at java.net.URLClassLoader.access$100(URLClassLoader.java:73)
    at java.net.URLClassLoader$1.run(URLClassLoader.java:367)
    at java.net.URLClassLoader$1.run(URLClassLoader.java:361)
    at java.security.AccessController.doPrivileged(Native Method)
    at java.net.URLClassLoader.findClass(URLClassLoader.java:360)
    at java.lang.ClassLoader.loadClass(ClassLoader.java:424)
    at sun.misc.Launcher$AppClassLoader.loadClass(Launcher.java:308)
    at java.lang.ClassLoader.loadClass(ClassLoader.java:357)
    at sun.launcher.LauncherHelper.checkAndLoadMain(LauncherHelper.java:495)

Answer 1

不，这不安全。它远非安全，以至于它在太阳系之外。重新编译项目。

不过，您可以使用 sed 替换源代码中的 IP。这很有可能奏效。

Answer 2

.class 文件中的字符串用 2 个字节表示其字节长度，然后用修改后的 UTF-8 编码表示它的字节。您可以安全地替换具有相同长度的 uniqoue ASCII 字符串。其他替代品并不安全。无论如何不建议这样做，如果您可以访问源代码，则应该重新编译文件。

举例说明它是如何工作的：

$ cat Test.java
public class Test {
  public static void main(String[] args) {
    System.out.println("Hello, World!");
  }
}

$ javac Test.java
$ java Test
Hello, World!
$ hexdump -C Test.class
...
00000060  2f 53 74 72 69 6e 67 3b  29 56 01 00 0a 53 6f 75  |/String;)V...Sou|
00000070  72 63 65 46 69 6c 65 01  00 09 54 65 73 74 2e 6a  |rceFile...Test.j|
00000080  61 76 61 0c 00 07 00 08  07 00 17 0c 00 18 00 19  |ava.............|
00000090  01 00 0d 48 65 6c 6c 6f  2c 20 57 6f 72 6c 64 21  |...Hello, World!|
000000a0  07 00 1a 0c 00 1b 00 1c  01 00 04 54 65 73 74 01  |...........Test.|
000000b0  00 10 6a 61 76 61 2f 6c  61 6e 67 2f 4f 62 6a 65  |..java/lang/Obje|
000000c0  63 74 01 00 10 6a 61 76  61 2f 6c 61 6e 67 2f 53  |ct...java/lang/S|
...

我们可以看到“Hello, World!”字符串位于 0x93 偏移处。现在我们将用“Hello, Earth!”替换该字符串。

$ echo -n Hello, Earth! | dd conv=notrunc of=Test.class bs=1 seek=$((0x93))
$ java Test
Hello, Earth!

echo -n Hello Earth! 将 12 个字节打印到其标准输出。 dd conv=notrunc of=Test.class bs=1 seek=$((0x93)) 将文件 Test.class 中的字节从 0x93 偏移量替换为其输入（在我们的例子中为 Hello Earth）。

这里是完整的成绩单：http://pastebin.com/rJi4cRX1

Answer 3

不安全。

如果是我们的项目，您应该在一个 txt 外部文件中包含所有变量（如 IP、端口和其他东西...）。

之后，您可以更改文件并仅重新运行 java 应用程序。