Java 安全：简单谈谈JAVA程序的反编译

如今JAVA语言在全世界范围正如火如荼般的流行，它广范地应用在INTERNET的数据库、多媒体、CGI、及动态网页的制作方面。1999年在美国对JAVA程序员的需求量首次超过C++！ PofrT6  
H9S}@ka  
　　作者因最近分析一些JAVA程序，对JAVA的反编译进行了一番了解，下面将我所了解的情况作以下介绍，希望对JAVA爱好者有所帮助。 (E+!Ku-.4  
t*5~prx  
　　JAVA是采用一种称做“字节编码”的程序结构，分为小程序(嵌入到HTML文件中)和应用程序(直接在命令状态下执行)两种类型。无论哪种结构，一旦用JAVAC命令编译后，均变成后缀为CLASS的同名可执行文件。这种文件是不可阅读的代码。 z liQJA  
)S8Y~-R  
　　经查阅了SUN公司的JDK(JDK1.1.3)文档资料后，我找到了一个据称是可反编译JAVA的JAVAP文件(EXE)，这个文件位于//JDK//BIN//下面，经按说明使用后，感到失望，原来这个“反编译”仅可反编译出JAVA程序的数据区(定义)、若干方法和类的引用等。 u]m_p86^pB  
_-Ca'a?  
　　这里我用了一个简单例子来说明问题。 M1&8 ZHQO  
S4d(C  
　　JAVA的源程序hello_java.java如下： ' t{b}.k  
y_6uyG cp  
　　import java.applet.*; Gh Vp;6  
DTP O  
　　import java.awt.*; -v}X3 Q6!  
QTw%Ugd5f  
　　public class hello_java extends Applet 9s NRb?Jl  
tR/)M  
　　public void paint(Graphics g) bsJ}6* ms  
xl >iL  
　　g.drawString(Hello Java!//n,20,20); [,1q',  
F5F~TN  
　　经用反编译命令：javap -c -package -public -privatehello_javahello.java v 7$:Uuk  
S[nqu*K  
　　得到的反编译结果(hello.java)如下：(有关javap命令的选择参数请见其使用说明，这里-c表示选择了反编译) ?8M$Yh-p#  
C8t0,.  
　　Compiled from hello_java.java #f;M-A MvM  
voy &1c  
　　public synchronized class hello_javaextendsjava.applet.Applet w0X! "(U!  
8d[fe<b  
　　/* ACC_SUPER bit set */ =Dm9BNx  
FvA[*g  
　　public void paint(java.awt.Graphics); D9HNk<  
"kk`tJf<  
　　public hello_java(); Vot&P  
D}:y Xr/  
　　Method void paint(java.awt.Graphics) /cgB>}3C  
TO?$AR>0VY  
　　0 aload_1 @Sm*GIkSz  
S#+uqzm7  
　　1 ldc #1 %qdr0u{-T  
vPEy9y]';A  
　　3 bipush 20 9 *]= [)  
;r}l7U2  
　　5 bipush 20 e[l8/il>u  
SHa/Q  
　　7 invokevirtual #6 vvz(+q|wX  
Sm, K0T  
　　10 return /%]P az|  
gp$ht  
　　Method hello_java() Ao0J7 R ,R  
T]&&,"jY=H  
　　0 aload_0 0*O)sUX E  
`XZw {R R_  
　　1 invokespecial #5 ()V> hE6R^^o"  
H<iB/Gn8~l  
　　4 return c I^off  
Z_H#9N<T  
　　从上述结果不难看出该反编译未能将源程序全译出来，像语句g.drawString(HelloJava!//n,20,20);就没有。随着程序量增加，未能编译的JAVA语句还会更多。所以这个反编译程序仅能起个参考作用。 X8BBk!R]i  
p fO[[  
　　幸亏有了INTERNET，笔者通过YAHOO很快找到了一个JAVA反编译“自由软件”(SHAREWARE)， http://www.inter.nl.net/users/H.P.van.Vliet/mocha.htm。这个软件叫MOCHA，据说是一位30来岁的加拿大的研究生所完成，仅是个“?”版，原因是这位叫做H.P.VAN.VLIET的小伙子患癌逝世了，十分可惜呀！ ^:8`h"5_  
Q$mDX6-  
　　经使用MOCHA反编译软件，感到这个软件十分好用，笔者试反编译多个JAVA程序，均得到很好的结果。 E CIX)Tg I  
t:h " 3s  
　　这里给出如何使用这个软件，首先，用WINZIP等将mocha-b1.zip解开得到mocha.zip文件，mocha.zip不须再解开，这个包内包括了反编译的类文件，只需将其拷贝到JDK所在的目录下，如：c://jdk//bin//此外，须设置路径：SETCLASSPATH=c://myclasses;c://jdk//bin//mocha.zip D]($46,#x  
<ax(s`CPGz  
　　MOCHA用法： -~S/^E  
^ aUJ0D  
　　java mocha.Decompiler -v -o Class1.class Class2.class ... ${001jna#  
Jm2{#.=h  
　　java 调用Java虚拟机 2$K'K'}'  
(<T6P0rC-  
　　mocha.Decompiler 指示要进行JAVA反编译 LeLk#&:JU  
xho",L  
　　-v 选择详细输出 B R({3!i  
Wg+&3X7  
　　-o 选写入已有的.mocha 文件 w8N ]{  
E zq1 n  
　　ClassX.class 指出要反编译类名 7iD_*[y4V  
"|vb.p71  
　　注意，不需给出输出的JAVA文件名，因为MOCHA自动产生一个与CLASS同名但扩展名为MOCHA的JAVA源文件。 ~I(l??  
=_C*G41Y  
　　对于上例，可用命令： R/c/}kj+  
*S6U;[q  
　　java mocha.Decompiler -v -o hello_java.class =dIH'70Ym  
1;D+=Md  
　　得到的源文件： . lK|5i2z  
94SrI5  
　　/* Decompiled by Mocha from hello_java.class */ %BkC+a~  
A/h6 +q  
　　/* Originally compiled from hello_java.java */ ;DhfOV  
U2qL>  
　　import java.applet.Applet; _oAhC- g  
:@, vm&  
　　import java.awt.Graphics; ??Vj/~c?  
lNO )ci  
　　public synchronized class hello_java extends Applet u?ov%.$v  
UfI%Hh/"W  
　　public void paint(Graphics g) TW^S 'z  
Q&a[Y=pC  
　　g.drawString(Hello Java!//n, 20, 20); 2r+-DT?;  
/t>P;llRA  
　　public hello_java() Bu*f~h^  
Oe(0.U-"/  
　　我们不难发现，此文件与编译前的JAVA源文件完全一样！笔者曾经用MOCHA反编译出最大为80K的源文件，均取得成功。 lLwS2j%K`  
bv)Sx+$  
　　在此，笔者向英年早逝的VLIET表示敬意，感谢他给我们留下这个工具软件。