Skip to content

标题: 闲谈Java逆向工程

创建: 2019-09-12 13:50 更新: 2020-03-05 15:31 链接: https://scz.617.cn/misc/201909121350.txt

无意中看到一个blog:

https://www.cnblogs.com/hac425/

捋了一遍,发现小伙子很能折腾,嗯,这种肯定不能是小姑娘。推荐给诸君,不局限 于Java逆向工程,他涉猎面较广。就Java逆向工程实践而言,推荐他的这几篇:


使用sa-jdi.jar dump内存中的class https://www.cnblogs.com/hac425/p/9416705.html

破解jeb mips 2.3.3 - [2017-11-2] https://www.cnblogs.com/hac425/p/9416950.html https://bbs.pediy.com/thread-222503.htm https://drive.google.com/open?id=1PJ5T3IgvYBhtq9_uAqQlpepjLA4uHPdA (jeb_2.3.3_demo_cracked.zip)

破解jeb 2.3.7 demo https://www.cnblogs.com/hac425/p/9416948.html


hac425破解的是JEB DEMO版。

破解JEB这事我干过:


https://bbs.pediy.com/thread-189980.htm

用Javassist分析jeb.jar - [2014-7-30] https://scz.617.cn/misc/201407301745.txt

https://scz.617.cn/misc/201507271722.txt

JEB 2.0.6 52pojie破解方案简评 - [2016-7-28] https://scz.617.cn/misc/201607281139.txt


1.5的DEMO版我给补齐了功能,网上最早的2.0.6版安装密码我给出来的,不过也因此 关上了一扇偷窥之门,要说不遗憾,是不可能的。很多人奇怪几年过去了为什么网上 只能找到2.2.7正式版的破解,这是因为我和bluerust干过的一件事,等他老了,你 们可以听他讲这个八卦。后来再未关注过JEB正式版破解,不知如今什么局面。

hac425这几篇提到Java逆向工程中的几大技术手段:

Serviceability Agent(SA) BTrace Javassist 动态调试(他用的是IntelliJ IDEA,可以用别的) ClassFileTransformer

SA有很多能力,我给个学习指南:


1) 利用SA查看JIT之后的汇编代码 2) 利用SA在内存中寻找bytecode 3) 利用SA、cdb定位bytecode对应的解释执行代码 4) sun.jvm.hotspot.CLHSDB 5) sun.jvm.hotspot.HSDB 6) 已知JIT后代码的地址,反查Java信息


放狗搜,这都是成熟技术。

BTrace在这里:

https://github.com/btraceio/btrace https://github.com/btraceio/btrace/wiki

用过Solaris的DTrace吗?BTrace有点类似。下面这个BTrace脚本用于查看 java.lang.System.exit()调用栈回溯:


import com.sun.btrace.annotations.; import static com.sun.btrace.BTraceUtils.;

@BTrace public class TracingScript { @OnMethod ( clazz = "java.lang.System", method = "exit" ) public static void TraceFunc ( ) { println( "jstack() is :" ); println( "[" ); jstack(); println( "]" ); } }


这有什么用呢?比如某些ReadyAPI的破解在使用过程中会不定时突然自动退出,所谓 闪退。用上述BTrace脚本很容易看到调用栈回溯:


jstack() is : [ java.lang.System.exit(System.java) sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method) sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:62) sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43) java.lang.reflect.Method.invoke(Method.java:498) org.codehaus.groovy.reflection.CachedMethod.invoke(CachedMethod.java:93) groovy.lang.MetaMethod.doMethodInvoke(MetaMethod.java:325) groovy.lang.MetaClassImpl.invokeStaticMethod(MetaClassImpl.java:1443) org.codehaus.groovy.runtime.InvokerHelper.invokeMethod(InvokerHelper.java:891) org.codehaus.groovy.runtime.ScriptBytecodeAdapter.invokeMethodN(ScriptBytecodeAdapter.java:168) com.smartbear.ready.utils.ReflectionUtils.callMethod(ReflectionUtils.groovy:38) com.smartbear.ready.module.ConcurrentXmlLoadProcess.a(ConcurrentXmlLoadProcess.java:149) com.smartbear.ready.module.ConcurrentXmlLoadProcess.a(ConcurrentXmlLoadProcess.java:125) com.smartbear.ready.module.ConcurrentXmlLoadProcess.b(ConcurrentXmlLoadProcess.java:102) com.smartbear.ready.module.ConcurrentXmlLoadProcess.a(ConcurrentXmlLoadProcess.java:90) com.smartbear.ready.module.ConcurrentXmlLoadProcess$1.run(ConcurrentXmlLoadProcess.java:83) java.util.concurrent.Executors$RunnableAdapter.call(Executors.java:511) java.util.concurrent.FutureTask.run(FutureTask.java:266) java.util.concurrent.ScheduledThreadPoolExecutor$ScheduledFutureTask.access$201(ScheduledThreadPoolExecutor.java:180) java.util.concurrent.ScheduledThreadPoolExecutor$ScheduledFutureTask.run(ScheduledThreadPoolExecutor.java:293) java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1149) java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:624) java.lang.Thread.run(Thread.java:748) ]


据此处理com.smartbear.ready.module.ConcurrentXmlLoadProcess类即可解决闪退。

跟gdb一样,BTrace有两种用法,一种是启动时用,一种是Attach时用。第一种用法 需要事先将BTrace脚本用BTrace自带工具编译成class再用,第二种用法就保持脚本 源码状态即可。如果是第二种用法,推荐在VisualVM中安装"BTrace Workbench"插件, 就不需要单独安装BTrace了。我用BTrace剁过soapUI Pro、JEB等,这种东西看别人 说没感受,得用,用过都说好。

VisualVM在这里:

https://visualvm.github.io/index.html https://visualvm.github.io/gettingstarted.html

Javassist在这里:

http://jboss-javassist.github.io/javassist/

Getting Started with Javassist http://www.javassist.org/tutorial/tutorial.html

《用Javassist分析jeb.jar》以及hac425的JEB破解都给出很好的演示,如果从未用 过,现在用起不算晚。有些人修改复杂jar包时,很费劲地反编译、修改、再编译, 用Javassist可以避开很多麻烦。


import javassist.; import javassist.bytecode.;

class Modify_Protection { private static void Modify_LicenseReader () throws Throwable { ClassPool pool; CtClass old_class; CtMethod old_method; String MethodName;

    pool        = ClassPool.getDefault();
    old_class   = pool.get( "com.jp.protection.pub.LicenseReader" );

    MethodName  = "isSkipEncryption";
    old_method  = old_class.getDeclaredMethod( MethodName );
    old_method.setBody
    (
        "{" +
        "    return( true );" +
        "}"
    );

    old_class.detach();
    old_class.writeFile( "./Javassist/Protection-4.6" );
}  /* end of Modify_LicenseReader */

public static void main ( String[] argv ) throws Throwable
{
    Modify_LicenseReader();
}

}

这是一个简单Javassist示例,编译、运行上述代码,将修改函数:

com.jp.protection.pub.LicenseReader.isSkipEncryption()

使之恒返回true。为什么干这事?我在看雪上提过:

soapUI Pro 4.5.1的新破解方案 - [2012-10-29] https://bbs.pediy.com/thread-158097.htm

在这篇我提供了一个示例性质的scz.key,结果后来soapUI Pro的绝大多数破解都在 用它,直至新一代的ReadyAPI出现。

原理很简单,com.jp.protection.pub.LicenseReader.decodeLicense()判断了 isSkipEncryption()的返回值,如果返回true,就不对key文件进行公钥解码,而直 接使用明文状态的key文件。显然,明文状态的key文件,想让它哪天到期都可以。

Patch如下class:

com.smartbear.ready.module.ConcurrentXmlLoadProcess com.jp.protection.pub.LicenseReader

就完成了ReadyAPI的破解,但不能通过GUI安装伪造版License,必须手工放入:

%USERPROFILE%.soapui\soapui.key %USERPROFILE%.loadui\loadUI.key %USERPROFILE%.readyapi\servicev.key

对于非Windows用户,比如Mac用户,这个目录不同。考虑到用户友好性,还是想通过 GUI安装伪造版License,此时需要修改另一个函数:

com.smartbear.ready.license.util.LicenseUtil.isTrialActivationAvailable()

使之恒返回true,即可通过GUI安装伪造版License。属于锦上添花型,不是必须的。

再说一下JEB。hac425提到新版JEB支持MIPS反编译,这是啥意思,可以理解成MIPS版 Hex-Rays?

没用过IDEA,我是用Eclipse动态调试。hac425提到可以在IDEA动态调试JEB时直接调 用JEB的函数完成对字符串的反混淆,有点意思,我理解这类似在gdb里call目标进程 的一个函数。

他还提到把jar转成dex,然后用JEB静态分析。不过对于PC上的jar,JD-GUI、Luyten 这些足够了,最主要的是后面这几个都是免费使用。

本来想写一篇《ReadyAPI逆向工程》,发现有人在2015年写过:

试手破解soapUI and readyAPI - [2015-10-02] https://blog.csdn.net/gogcc/article/details/48859225

他把需要Patch的点都提到了。八个小卦,上文里面说"发现一个真理",那篇就是 《soapUI Pro 4.5.1的新破解方案》。

假设申请了ReadyAPI试用版License,有14天(2周)试用期,可以用RunAsDate之类的 工具欺骗程序运行时间而长久使用,也可以Patch这里:

com.jp.protection.pub.LicenseBaseImpl.setLicenseExpireDate()

想多久就多久。不过,还是伪造License显得是那么回事。

CSDN上一堆高分下载ReadyAPI破解,我没试过。现在天朝技术研究环境艰难,值此中 秋来临之际,友情提供临时下载点:

https://scz.617.cn/private/ReadyAPI-x64-2.8.2.exe https://scz.617.cn/private/ReadyAPI-x64-2.8.2-crack-ex.7z (已失效,勿试)

随时可能删除,各位随缘下载,不谢。话说那些CSDN赚分的,你们太TM黑,本怪看不 下去了。

此破解未经广泛测试,本人WEB安全白痴一枚,无力测试SOAP相关功能,可能有重大 BUG,仅供学习参考。

我准备掏1000块钱请郑同舟花周末两天时间教会我SOAP,然后我跨洋教会bluerust, 再然后我们仨一起出去打怪。嗯,这一段是胡扯。