利用ClassLoader#defineClass动态加载字节码

原创

已于 2023-02-07 14:20:03 修改 · 3.7k 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#java #开发语言 #渗透测试 #经验分享 #安全

于 2023-02-07 10:56:08 首次发布

文章详细介绍了Java中通过ClassLoader的defineClass方法直接加载字节码的过程，包括loadClass、findClass和defineClass三个关键步骤。defineClass是将字节流转化为Java类的核心方法，它是一个native方法，且在调用时不执行类的初始化。文中还展示了如何通过反射调用这个受保护的方法，并提供了一个简单的示例。由于安全性考虑，通常攻击者难以直接利用此方法，但它在某些攻击场景中起着重要作用。

利用ClassLoader#defineClass直接加载字节码

不管是加载远程class文件，还是本地的class或jar文件，Java都经历的是下面这三个方法调用

loadClass 的作用是从已加载的类缓存、父加载器等位置寻找类（这里实际上是双亲委派机制），在前面没有找到的情况下，执行findClass
findClass 的作用是根据基础URL指定的方式来加载类的字节码，就像上一节中说到的，可能会在本地文件系统、jar包或远程http服务器上读取字节码，然后交给defineClass
defineClass 的作用是处理前面传入的字节码，将其处理成真正的Java类

protected final Class<?> defineClass(String name, byte[] b, int off, int len)

// name 为类名 (可设置为 null)

// b 为字节码数组

// off 为数组的偏移值 (从第几位开始为字节码数据)

// len 为数组的长度

所以可见，真正核心的部分其实是defineClass ，他决定了如何将一段字节流转变成一个Java类，Java默认的ClassLoader#defineClass 是一个native方法，逻辑在JVM的C语言代码中。
注意一点，在defineClass 被调用的时候，类对象是不会被初始化的，只有这个对象显式地调用其构造函数，初始化代码才能被执行。而且，即使我们将初始化代码放在类的static块中，在defineClass 时也无法被直接调用到。所以，如果我们要使用defineClass 在