rust写的java class文件加解密工具，欢迎分析

ljkgpxs

附件里的压缩包包含了运行程序所需动态库以及密钥文件，目的是防止外部人员反编译获取源码，class文件在运行时解密加载进jvm，dll使用rust编写。
本打算发ReserveMe板块，但是思来想去，觉得加密过程设计的太复杂了，可能分析难度较大，还是发到了UnPackMe板块，要求dump出class文件的实际字节码，大神帮忙分析程序的可靠性，提提建议增强哪部分

class文件经过加密之后，所有方法的内容都被替换成throw new RuntimeExcepiton("Empty method");

提供的示例要求java8以及以上，正常运行会有以下提示“You cracked me!”


如果没有nclassloader.dll，或者对应密钥（抑或是密钥过期），Crackme会抛出异常“Empty method”


请dump出Crackme的实际class文件字节码，并附明dump过程和方式
如果可以，请分析出class文件是如何伪装，如何加解密的

Sound

public Crackme();
  Code bytes:
    2A B7 00 01 B1

  javap:
    0: aload_0
    1: invokespecial #1  
    4: return

public void hello();
  Code bytes:
    B2 00 02 12 03 B6 00 04 B1

public void hello();
  Code bytes:
    B2 00 02 12 03 B6 00 04 B1

  javap:
    0: getstatic     
    3: ldc           
    5: invokevirtual
    8: return

Sound

nclassloader.dll

void Java_nclassloader_NClassLoader_init(void) {
    FUN_1800222f3(0);

FUN_1800222f3` 中有直接解析 HotSpot 内部结构的行为

```text
Load jvm.dll
GetProcAddress("gHotSpotVMStructs")   通过 jvm.dll的 VMStructs 定位 HotSpot 内部结构，运行时改了方法执行

原始方法的真实 Code加密后存放在常量
- 运行时 DLL 识别带有该标记和伪装方法体的 class，解密出真实方法内容，再通过 HotSpot 内部结构恢复执行体

构造函数实际字节码：

```text
2A B7 00 01 B1
```

对应 javap：

```text
public Crackme();
  0: aload_0
  1: invokespecial #1  // java/lang/Object.<init>:()V
  4: return
```

`hello()` 实际字节码：

```text
B2 00 02 12 03 B6 00 04 B1
```

对应 javap：

```text
public void hello();
  0: getstatic     #2  // java/lang/System.out:Ljava/io/PrintStream;
  3: ldc           #3  // String You cracked me!
  5: invokevirtual #4  // java/io/PrintStream.println:(Ljava/lang/String;)V
  8: return
```
根据方法名替换为实际执行字节码
```text
<init>  -> 2A B7 00 01 B1
hello   -> B2 00 02 12 03 B6 00 04 B1

ljkgpxs

Sound 发表于 2026-7-2 18:59
nclassloader.dll

void Java_nclassloader_NClassLoader_init(void) {

佬厉害了，是也是使用了jvmti的ClassFileLoadHook拿到的字节码吗，还是通过打桩dll

ljkgpxs

Sound 发表于 2026-7-2 18:59
nclassloader.dll

void Java_nclassloader_NClassLoader_init(void) {

获取gHotSpotVMStructs是做的反dump机制，sa-jdi会使用到这个结构体用来dump

Sound

由于javap只能看到伪装的class，

我用行为 ，常量池 ，方法桩重建的实际 class

1. 解析Crackme.class
2. 定位每个Code
3. 如果 code[]等于异常桩
4. 根据方法名替换为实际执行字节码
5重写 Code    max_stack max_locals 并清空方法的子属性。

PS: 运行可证明恢复出的实际字节码可脱离 DLL 独立执行~：）

ljkgpxs

Sound 发表于 2026-7-3 14:36
由于javap只能看到伪装的class，

我用行为 ，常量池 ，方法桩重建的实际 class

如果class文件内业务逻辑较为复杂，这种靠行为的方式是不是就不太行了

gtjdoctor

学习下，感谢！！

Sound

ljkgpxs 发表于 2026-7-3 17:06
如果class文件内业务逻辑较为复杂，这种靠行为的方式是不是就不太行了

还有其他方法，怎么方便怎么来而已，等你更新了你的工具，回帖后，抽空我再来看看~

Rust

分析DLL修改了我之前写的Script,hook ClassFileLoadHook,顺利拿到了解密后的class文件