Беззащитная Java. Ломаем Java bytecode encryption

Мы уже обнаружили в рабочем каталоге динамическую библиотеку с оригинальным названием JavaLoader.dll, при загрузке которой в дизассемблер IDA и находим искомые функции — перед нами действительно JVMTIAgent, декриптующий байт‑код при загрузке нужного класса. Но как он это делает?

Снова покурим спецификацию JVM Tool Interface, ссылку на которую я привел выше. Общий принцип работы агента — установка собственных пользовательских callback-обработчиков на определенные события. В данном случае нас интересует событие JVMTI_EVENT_CLASS_FILE_LOAD_HOOK, вызываемое сразу после загрузки массива байт‑кода нужного класса из файла, но перед JIT-компиляцией данного класса. Примерная реализация установки такого обработчика выглядит так:

JNIEXPORT jint JNICALL Agent_onload(JavaVM *vm, char *options, void *reserved) {

jvmtiEventCallbacks callbacks;

jvmtiEnv *jvmtienv = jvmti(agent);

jvmtiErrorjvmtierror;

memset(&callbacks, 0, sizeof(callbacks));

  callbacks.ClassFileLoadHook = &eventHandlerClassFileLoadHook;  // Новый обработчик JVMTI_EVENT_CLASS_FILE_LOAD_HOOK

  jvmtierror = (*jvmtienv)->SetEventCallbacks( jvmtienv, &callbacks, sizeof(callbacks));  // Установка обработчиков

jvmtierror = (*jvmtienv)->SetEventNotificationMode(jvmtienv, JVMTI_ENABLE,

JVMTI_EVENT_CLASS_FILE_LOAD_HOOK,

(jthread)NULL); // Разрешаем обработку события JVMTI_EVENT_CLASS_FILE_LOAD_HOOK

Покопавшись при помощи IDA в коде процедуры Agent_onload, находим соответствующее место.

Беззащитная Java. Ломаем Java bytecode encryption - «Новости»