---
name: re-java
description: Java 字节码逆向：CFR/JD-GUI、jar 解包、Java 加固。触发词：Java、jar、字节码、JD-GUI、CFR、class文件
capabilities: [bytecode-parser]
---

# Java 字节码逆向（CFR / JD-GUI / javap）

## 何时使用 / 何时不用

- 用：jar/war/class 样本还原 Java 逻辑；定位注册码/密钥/网络逻辑；处理 ProGuard/Allatori 混淆与 Java 加固
- 用：恶意 Java 样本（[[re-malware]] → [[re-managed]] 路径）静态还原
- 不用：Android DEX 直接分析（[[re-apk]]；转成 jar 后可回本技能）
- 不用：非 Java（.NET 走 [[re-dotnet]]、脚本走 [[re-script-deob]]、native 走 [[re-binary-core]]）
- 注意：动态步骤默认沙箱（[[re-analyze/platform-tips]] 最高原则）；解包产物先备份

## 工具准备

参考 [[re-analyze/platform-tips]]——反编译/解包为静态步骤，免沙箱；动态验证按最高原则进沙箱。

### JDK（javap / jar / java 运行时）

- Debian/Ubuntu: `apt install openjdk-17-jdk`
- Fedora: `dnf install java-17-openjdk`；Arch: `pacman -S jdk17-openjdk`
- macOS: `brew install openjdk`（或 `brew install --cask temurin`）
- Windows: `choco install temurin` 或官方安装器
- 验证: `java -version && javap -version`

### unzip（jar = zip 容器）

- Linux: `apt install unzip` / `dnf install unzip` / `pacman -S unzip`；macOS: `brew install unzip`
- 验证: `unzip -v`

### CFR（jar CLI 反编译器，零依赖）

- 下载（无依赖，只需 JRE）: `curl -L -o cfr.jar https://www.benf.org/other/cfr/cfr-0.152.jar`
- 验证: `java -jar cfr.jar --help`

### JD-GUI（GUI 反编译器）

- GitHub `java-decompiler/jd-gui` release zip → 解压，Linux/macOS: `java -jar jd-gui-1.6.6.jar`（zip 内含各平台可执行）
- 验证: GUI 启动并能 `File > Open` 打开 jar

### procyon（备选反编译器）

- Maven Central: `curl -L -o procyon-decompiler.jar https://repo1.maven.org/maven2/org/bitbucket/mstrobel/procyon-decompiler/0.6.0/procyon-decompiler-0.6.0.jar`
- 验证: `java -jar procyon-decompiler.jar --help`

## 操作步骤

按顺序执行，每步记录证据（路径 + sha256，见 [[re-triage]]）。

1. **jar/war 解包**：
   ```sh
   jar tf app.jar                 # 先看清单（JDK 自带 jar 工具）
   unzip -o app.jar -d unpacked/
   unzip -p app.jar META-INF/MANIFEST.MF   # Main-Class / 加固标记
   ```
   - war: 类在 `WEB-INF/classes/`，依赖在 `WEB-INF/lib/`
   - fat jar（Spring Boot）: 类在 `BOOT-INF/classes/`，嵌套依赖 `BOOT-INF/lib/*.jar` 需逐个解
   - aar（Android）: 内含 `classes.jar`，解出后再按本技能处理
   - Multi-Release jar: 同路径多版本类在 `META-INF/versions/N/`（N=9/11/17…）下覆盖——运行时按 JDK 选版加载，逆向按目标 JDK 看对应层，别只看顶层

2. **类结构识别**：
   ```sh
   javap -c -p unpacked/com/example/Main.class    # 字节码（-c）+ 私有成员（-p）
   javap -v unpacked/com/example/Main.class       # 常量池/元数据
   ```
   - 找入口：MANIFEST.MF 的 `Main-Class` → `javap -c -p <入口类>` 看 main 逻辑
   - 混淆程序集先看类名是否可读（a/b/c → 步骤 4）
   - class 文件头速查：`xxd -l 8 <类>.class` → `CA FE BA BE` + minor(2) + major(2)；Java 版本 = major − 44（52=Java 8、55=11、61=17、65=21，实测 JDK 21 产物 major=65）；`javap -v` 首行直接打印 minor/major
   - 常量池：计数在 major 之后（u16，索引 0 占位），`javap -v` 列条目类型（String/Class/NameAndType/Methodref/Utf8 等）——字符串字面量、类名、签名全在常量池，混淆样本的明文串先在这里找

3. **逻辑还原（CFR / JD-GUI）**：
   ```sh
   java -jar cfr.jar app.jar --outputdir cfr_out/           # 整包还原为 Java 源码
   java -jar cfr.jar unpacked/com/example/Main.class        # 单类还原
   java -jar procyon-decompiler.jar -jar app.jar -o procyon_out/   # 备选
   ```
   - JD-GUI: `File > Open` → 左侧树浏览 → `File > Save All Sources` 导出
   - 关键类/方法用两个反编译器交叉验证（CFR 对 lambda/现代字节码还原更好，JD-GUI 对老代码更顺）

4. **混淆识别与字符串解密**：
   - ProGuard: 类/方法名全变 `a/b/c`、`javap -l` 无 LineNumberTable/LocalVariableTable（调试信息被剥）
   - Allatori: 反编译产物出现 `com.allatori.*` 水印类、`StringEncryptor` 调用（字符串加密）
   - ZKM（Zelix KlassMaster）: `com.zelix.*` 类特征
   - 检测: `grep -rn 'StringEncryptor\|decrypt(' cfr_out/ | head`
   - 字符串加密处理：定位解密类与算法（key/变换方式）→ python3 复刻批量还原；或动态取明文（步骤 5，沙箱内）——先静态还原，静态卡住再动态

5. **动态（可选；沙箱内执行 [[re-sandbox]]）**：
   - JDB（桌面 JVM）:
     ```sh
     jdb -classpath app.jar com.example.Main
     > stop in com.example.Main.checkKey     # 下断点
     > print key                             # 取变量
     > eval new com.example.Util().decrypt("密文")   # 直接调用解密方法取明文
     ```
   - Frida（Android Java 应用，转 [[re-mobile]]/[[re-apk]] 域）:
     ```js
     Java.perform(function () {
       var c = Java.use("com.example.Main");
       c.checkKey.implementation = function (k) {
         console.log("key = " + k);
         return this.checkKey(k);
       };
     });
     ```
   - 桌面 JVM 无 Frida Java API → 用 JDB / 自写 Java agent

## 跨域联合

- [[re-managed]]：网关工作流步骤②（反编译）③（去混淆）固定调用本技能
- [[re-malware]]：Java 恶意样本路径（re-malware → re-managed → 本技能静态还原）
- Android 侧：[[re-apk]] / [[re-mobile]]（DEX 转 jar 后可回本技能）；动态 [[re-frida]]（Android）
- 底座 [[re-binary-core]]：初勘（[[re-triage]]）；native/JNI 部分

## 常见坑与陷阱

- **ProGuard 改名后靠字符串交叉引用**：现象——反编译全是 `a/b/c` 类、`a(...)` 方法，无法定位目标逻辑；原因——ProGuard shrink+obfuscate 重命名抹掉语义；对策——从字符串入手：grep 明文 URL/提示语 → 在反编译产物里找引用它的类（`grep -rn "提示语" cfr_out/`）→ 沿调用链恢复语义
- **Allatori/字符串加密需先解密**：现象——反编译只见 `StringEncryptor.decrypt("...")` 调用，看不到任何明文；原因——字符串运行时才解密；对策——静态定位解密算法与 key → python3 复刻批量还原；或动态在解密调用后取明文（JDB `eval` / Frida），沙箱内执行
- **反编译不完全正确**：现象——CFR/JD-GUI 输出语法错误、goto/label 混乱、try-catch 结构诡异、lambda 还原失败；原因——字节码到 Java 不存在无损还原；对策——对照 `javap -c -p` 字节码手工修正，多反编译器交叉验证
- **Java 加固（如 Virbox）类似壳需先脱**：现象——JD-GUI 打开报错/空白、`javap` 输出损坏、文件头非标准；原因——加固器加密 class 字节码、运行时才解密（本质是壳）；对策——先脱加固：运行时 dump class（attach agent / 专用脱壳工具为主；`-Xbootclasspath` 仅 JDK 8 可用，JDK 9+ 已移除该选项）→ 对脱出的标准 class 再反编译；思路同 [[re-anti-analysis]] 的"先脱壳后分析"
- **javap 报 unsupported class file version**：现象——`javap` 报 `major version 65` 之类不支持；原因——class 文件版本高于本机 JDK 工具版本；对策——按 major−44 换算目标 Java 版本，装对应或更新的 JDK；只读版本与常量池可先用 `xxd` 手工看头字段，不必等工具
- **Multi-Release jar 分析错层**：现象——`unzip -o` 解出顶层类后反编译，逻辑与运行时行为不符（版本分支消失）；原因——多版本类在 `META-INF/versions/N/`，不同 JDK 加载不同层；对策——解包后检查 `META-INF/versions/`，按目标 JDK 选层分析；顶层与 versions 层的差异就是版本条件逻辑
- **lambda 反编译出现合成方法**：现象——CFR/JD-GUI 输出 `lambda$xxx$n` 方法或 `invokedynamic` 调用；原因——lambda 体编译为合成私有方法 + invokedynamic 引导；对策——`javap -v -p` 的 BootstrapMethods 表定位 lambda 体方法（捕获变量在合成方法参数里），按普通方法分析即可