替换 .class 文件中的 "strings" 是否安全？还是重新编译比较好？

Question

主要问题是：更改 *.class 文件中的一些“字符串”信息是否安全（java 已编译类）。

我正在做的是：

使用正则表达式我试图在一些已编译的项目中找到所有 IP 地址字符串

find . -type f | xargs grep -E "[0-9]{3}\.[0-9]{3}\.1\.[0-9]{0,3}"

这个命令告诉我一些二进制文件与我的正则表达式匹配。它指出这个二进制文件是 .jar 和 .class。当我使用 vi 打开那些 .class 文件时，我可以在这些二进制垃圾中看到很多奇怪的字符以及类似“http://192.168.1.111”的内容。

我的最终任务是将所有 IP 地址（使用 sed -i）替换为 FQDN。

安全吗？或者只有反汇编所有项目并重新编译的工作解决方案？

回答后添加。

我是这样测试的：

创建Change.java

public class Change {

    public static String CHANGE_ME="SOME_TEST_STRING";

    public static void main (String[] argv){
        System.out.println(CHANGE_ME);
    }
}

运行它并在终端中看到了这个

$ java Change
SOME_TEST_STRING

编译它并运行替换：

sed -i 's/SOME_TEST_STRING/AAAAA/g' Change.class

在此之后运行再次

$ java Change 
Exception in thread "main" java.lang.ClassFormatError: Illegal UTF8 string in constant pool in class file Change
    at java.lang.ClassLoader.defineClass1(Native Method)
    at java.lang.ClassLoader.defineClass(ClassLoader.java:760)
    at java.security.SecureClassLoader.defineClass(SecureClassLoader.java:142)
    at java.net.URLClassLoader.defineClass(URLClassLoader.java:455)
    at java.net.URLClassLoader.access0(URLClassLoader.java:73)
    at java.net.URLClassLoader.run(URLClassLoader.java:367)
    at java.net.URLClassLoader.run(URLClassLoader.java:361)
    at java.security.AccessController.doPrivileged(Native Method)
    at java.net.URLClassLoader.findClass(URLClassLoader.java:360)
    at java.lang.ClassLoader.loadClass(ClassLoader.java:424)
    at sun.misc.Launcher$AppClassLoader.loadClass(Launcher.java:308)
    at java.lang.ClassLoader.loadClass(ClassLoader.java:357)
    at sun.launcher.LauncherHelper.checkAndLoadMain(LauncherHelper.java:495)

Answer 1

不，那不安全。它远非安全，因为它在太阳系之外。重新编译项目。

不过，您可以使用 sed 替换源代码中的 IP。那很有可能奏效。

Answer 2

不安全。

如果是我们的项目，您应该在 txt 外部文件中包含所有变量（如 IP、端口等...）。

之后，您可以更改文件，只重新运行 java 申请。

Answer 3

.class 文件中的字符串使用表示其字节长度的 2 个字节进行编码，然后以修改后的 UTF-8 编码表示其字节。您可以安全地替换具有相同长度的 uniqoue ASCII 字符串。其他替代品并不安全。无论如何都不推荐这样做，如果您可以访问源代码，则应该重新编译文件。

工作原理示例：

$ cat Test.java
public class Test {
  public static void main(String[] args) {
    System.out.println("Hello, World!");
  }
}

$ javac Test.java
$ java Test
Hello, World!
$ hexdump -C Test.class
...
00000060  2f 53 74 72 69 6e 67 3b  29 56 01 00 0a 53 6f 75  |/String;)V...Sou|
00000070  72 63 65 46 69 6c 65 01  00 09 54 65 73 74 2e 6a  |rceFile...Test.j|
00000080  61 76 61 0c 00 07 00 08  07 00 17 0c 00 18 00 19  |ava.............|
00000090  01 00 0d 48 65 6c 6c 6f  2c 20 57 6f 72 6c 64 21  |...Hello, World!|
000000a0  07 00 1a 0c 00 1b 00 1c  01 00 04 54 65 73 74 01  |...........Test.|
000000b0  00 10 6a 61 76 61 2f 6c  61 6e 67 2f 4f 62 6a 65  |..java/lang/Obje|
000000c0  63 74 01 00 10 6a 61 76  61 2f 6c 61 6e 67 2f 53  |ct...java/lang/S|
...

我们可以看到 "Hello, World!" 字符串位于 0x93 偏移处。现在我们将该字符串替换为 "Hello, Earth!".

$ echo -n Hello, Earth! | dd conv=notrunc of=Test.class bs=1 seek=$((0x93))
$ java Test
Hello, Earth!

echo -n Hello Earth! 将 12 个字节打印到其标准输出。 dd conv=notrunc of=Test.class bs=1 seek=$((0x93)) 将文件 Test.class 中的字节从 0x93 偏移量替换为其输入（Hello Earth 在我们的例子中）。

完整成绩单如下：http://pastebin.com/rJi4cRX1

替换 .class 文件中的 "strings" 是否安全？还是重新编译比较好？

Is it safe to replace "strings" inside .class file? Or it is better to recompile?

java

regex

sed

disassembly

回答后添加。