코드 난독화의 문제점
코드 난독화는 Java 코드 보호에 적용된 가장 초기의 솔루션이며, 가장 직접적인 솔루션이기도 합니다.
코드 난독화는 일반적으로 다음 네 가지 방법을 포함합니다:
- 패키지명, 클래스명, 변수명 변환
- 제어 흐름 평탄화, 불변 조건자 추가 등의 제어 구조 변경
- 문자열 난독화 또는 암호화
- 쓸모없는 코드 추가
코드 난독화는 디컴파일된 코드의 가독성을 크게 줄이고 정적 분석의 어려움을 증가시킬 수 있지만, 코드 난독화를 아무리 수행해도 프로그램의 실행 로직은 변경되지 않습니다.
JVM 바이트코드는 매우 명확하고 명시적인 의미론적 중간 코드로 가독성이 높습니다. 난독화된 클래스 파일의 경우, 읽을 수 있는 Java 소스 코드로 복원할 수 없더라도 바이트코드 수준에서 여전히 분석할 수 있습니다. Java 바이트코드의 높은 의미론적 특성으로 인해 이 과정은 실제로 비교적 쉽습니다.
우리는 Java와 Kotlin 언어를 사용하여 JVM 바이트코드 실행 엔진을 개발했습니다. 사용자는 이 프로젝트를 사용하여 IntelliJ IDEA에서 바이트코드 수준으로 Java 프로그램을 동적 디버깅할 수 있습니다. 자세한 내용은 아래 문서를 참조하세요.
https://protector4j.com/ko/articles/jvm-bytecode-engine-written-with-java-and-kotlin/
그리고 이 엔진을 사용하여 잘 알려진 난독화된 코드를 크래킹 시도했으며, 구체적인 과정은 다음 문서에서 참조할 수 있습니다.
http://protector4j.com/ko/articles/deobfuscate-with-vlx-vmengine/
결론
위의 분석에서 알 수 있듯이, JVM 바이트코드의 높은 의미론적 특성으로 인해 분석과 읽기가 매우 쉽습니다. 동적 디버깅을 통해 실행 로직을 쉽게 분석할 수 있습니다. 동적 디버깅 도구를 작성하는 것은 매우 복잡한 작업이 아니므로, 난독화는 신뢰할 수 있는 보호 솔루션이 아닙니다.