Re Java

Java 字节码逆向（CFR / JD-GUI / javap）

何时使用 / 何时不用

• 用：jar/war/class 样本还原 Java 逻辑；定位注册码/密钥/网络逻辑；处理 ProGuard/Allatori 混淆与 Java 加固
• 用：恶意 Java 样本（[[re-malware]] → [[re-managed]] 路径）静态还原
• 不用：Android DEX 直接分析（[[re-apk]]；转成 jar 后可回本技能）
• 不用：非 Java（.NET 走 [[re-dotnet]]、脚本走 [[re-script-deob]]、native 走 [[re-binary-core]]）
• 注意：动态步骤默认沙箱（[[re-analyze/platform-tips]] 最高原则）；解包产物先备份

工具准备

参考 [[re-analyze/platform-tips]]——反编译/解包为静态步骤，免沙箱；动态验证按最高原则进沙箱。

JDK（javap / jar / java 运行时）

• Debian/Ubuntu: apt install openjdk-17-jdk
• Fedora: dnf install java-17-openjdk；Arch: pacman -S jdk17-openjdk
• macOS: brew install openjdk（或 brew install --cask temurin）
• Windows: choco install temurin 或官方安装器
• 验证: java -version && javap -version

unzip（jar = zip 容器）

• Linux: apt install unzip / dnf install unzip / pacman -S unzip；macOS: brew install unzip
• 验证: unzip -v

CFR（jar CLI 反编译器，零依赖）

• 下载（无依赖，只需 JRE）: curl -L -o cfr.jar https://www.benf.org/other/cfr/cfr-0.152.jar
• 验证: java -jar cfr.jar --help

JD-GUI（GUI 反编译器）

• GitHub java-decompiler/jd-gui release zip → 解压，Linux/macOS: java -jar jd-gui-1.6.6.jar（zip 内含各平台可执行）
• 验证: GUI 启动并能 File > Open 打开 jar

procyon（备选反编译器）

• Maven Central: curl -L -o procyon-decompiler.jar https://repo1.maven.org/maven2/org/bitbucket/mstrobel/procyon-decompiler/0.6.0/procyon-decompiler-0.6.0.jar
• 验证: java -jar procyon-decompiler.jar --help

操作步骤

按顺序执行，每步记录证据（路径 + sha256，见 [[re-triage]]）。

1. jar/war 解包：

   jar tf app.jar                 # 先看清单（JDK 自带 jar 工具）
   unzip -o app.jar -d unpacked/
   unzip -p app.jar META-INF/MANIFEST.MF   # Main-Class / 加固标记

   • war: 类在 WEB-INF/classes/，依赖在 WEB-INF/lib/
   • fat jar（Spring Boot）: 类在 BOOT-INF/classes/，嵌套依赖 BOOT-INF/lib/*.jar 需逐个解
   • aar（Android）: 内含 classes.jar，解出后再按本技能处理
   • Multi-Release jar: 同路径多版本类在 META-INF/versions/N/（N=9/11/17…）下覆盖——运行时按 JDK 选版加载，逆向按目标 JDK 看对应层，别只看顶层

2. 类结构识别：

   javap -c -p unpacked/com/example/Main.class    # 字节码（-c）+ 私有成员（-p）
   javap -v unpacked/com/example/Main.class       # 常量池/元数据

   • 找入口：MANIFEST.MF 的 Main-Class → javap -c -p <入口类> 看 main 逻辑
   • 混淆程序集先看类名是否可读（a/b/c → 步骤 4）
   • class 文件头速查：xxd -l 8 <类>.class → CA FE BA BE + minor(2) + major(2)；Java 版本 = major − 44（52=Java 8、55=11、61=17、65=21，实测 JDK 21 产物 major=65）；javap -v 首行直接打印 minor/major
   • 常量池：计数在 major 之后（u16，索引 0 占位），javap -v 列条目类型（String/Class/NameAndType/Methodref/Utf8 等）——字符串字面量、类名、签名全在常量池，混淆样本的明文串先在这里找

3. 逻辑还原（CFR / JD-GUI）：

   java -jar cfr.jar app.jar --outputdir cfr_out/           # 整包还原为 Java 源码
   java -jar cfr.jar unpacked/com/example/Main.class        # 单类还原
   java -jar procyon-decompiler.jar -jar app.jar -o procyon_out/   # 备选

   • JD-GUI: File > Open → 左侧树浏览 → File > Save All Sources 导出
   • 关键类/方法用两个反编译器交叉验证（CFR 对 lambda/现代字节码还原更好，JD-GUI 对老代码更顺）

4. 混淆识别与字符串解密：

   • ProGuard: 类/方法名全变 a/b/c、javap -l 无 LineNumberTable/LocalVariableTable（调试信息被剥）
   • Allatori: 反编译产物出现 com.allatori.* 水印类、StringEncryptor 调用（字符串加密）
   • ZKM（Zelix KlassMaster）: com.zelix.* 类特征
   • 检测: grep -rn 'StringEncryptor\|decrypt(' cfr_out/ | head
   • 字符串加密处理：定位解密类与算法（key/变换方式）→ python3 复刻批量还原；或动态取明文（步骤 5，沙箱内）——先静态还原，静态卡住再动态

5. 动态（可选；沙箱内执行 [[re-sandbox]]）：

   • JDB（桌面 JVM）:

     jdb -classpath app.jar com.example.Main
     > stop in com.example.Main.checkKey     # 下断点
     > print key                             # 取变量
     > eval new com.example.Util().decrypt("密文")   # 直接调用解密方法取明文

   • Frida（Android Java 应用，转 [[re-mobile]]/[[re-apk]] 域）:

     Java.perform(function () {
       var c = Java.use("com.example.Main");
       c.checkKey.implementation = function (k) {
         console.log("key = " + k);
         return this.checkKey(k);
       };
     });

   • 桌面 JVM 无 Frida Java API → 用 JDB / 自写 Java agent