Jadx反编译工具使用踩坑与Java代码审计实战

1. 背景介绍

本文记录了一次Java代码审计过程中因Jadx反编译工具导致的"假阳性"问题排查经历，涉及以下关键技术点：

• Jadx反编译工具的局限性
• Java Web应用文件上传功能审计
• 白名单验证机制分析
• 反编译工具对比与选择

2. 文件上传功能审计过程

2.1 上传接口定位

通过搜索upload关键词发现关键接口：

@RequestMapping({"/attachment/*"})
public class AttachmentController {
    @RequestMapping({"fileUpload.action"})
    public String fileUpload(...) {
        // 上传处理逻辑
    }
}

2.2 核心上传逻辑分析

在AttachmentServiceImpl.java中找到实际实现：

public void saveFile(...) {
    // 获取文件后缀
    String fileSuffix = FileUtil.getFileSuffix(uFile.getOriginalFilename());
    
    // 生成文件名：时间戳+后缀
    String fileName = DateUtils.formatNow("yyyyMMddHHmmssSSS") + fileSuffix;
    
    // 构造存储路径
    String url = basePath + "uploadFile/" + attachment.getMark() + "/" 
                + attachment.getUsername() + "/" + fileName;
    
    // 写入文件
    byte[] bytes = uFile.getBytes();
    File targetFile = new File(pathUrl, fileName);
    uFile.transferTo(targetFile);
    targetFile.setReadOnly();
}

2.3 安全限制分析

发现白名单验证逻辑：

if (!fileSuffix2.endsWith("jpg") && !fileSuffix2.endsWith("jpeg") 
    && !fileSuffix2.endsWith("gif") && !fileSuffix2.endsWith("png") 
    && !fileSuffix2.endsWith("bmp") && !fileSuffix2.endsWith("jsp") 
    && !fileSuffix2.endsWith("js") && !fileSuffix2.endsWith("html")) {
    msg = "上传材料格式不正确";
}

3. Jadx反编译问题排查

3.1 问题现象

• 实际测试上传.jsp文件被拒绝，但代码显示.jsp在白名单中
• 使用多种反编译工具对比发现结果不一致

3.2 反编译工具对比

3.3 问题根源

最终发现是项目目录中包含备份文件（.classbak）导致：

• 备份文件命名：220627.classbak、220926.classbak等
• Jadx在处理目录时会错误地将备份文件内容混入正常反编译结果

4. 解决方案与最佳实践

4.1 反编译前检查

编写Python脚本扫描备份文件：

import os
import argparse

parser = argparse.ArgumentParser(description='Scan files for keywords.')
parser.add_argument('-r', '--root', help='the root directory to scan')
args = parser.parse_args()

keywords = ['bak', 'beifen']  # 常见备份文件关键词

for dirpath, dirnames, filenames in os.walk(args.root):
    for filename in filenames:
        if any(keyword in filename for keyword in keywords):
            print(os.path.join(dirpath, filename))

使用方式：

python3 back.py -r 目标目录

4.2 反编译工具选择建议

1. 单文件检查：优先使用IDEA内置反编译器或jd-gui
2. 批量反编译：
   • 使用Jadx时确保目录干净无备份文件
   • 可尝试JEB等商业反编译工具（效果更好但需付费）

4.3 Windows系统下的绕过思路

即使存在白名单限制，在Windows系统中仍可尝试：

• 使用冒号绕过：a.jsp:jpg
• 利用NTFS特性：a.jsp::$DATA

5. 经验总结

1. 代码审计第一步：检查目录中是否有备份/缓存文件
2. 多工具验证：关键代码需用多种反编译工具交叉验证
3. 环境一致性：测试环境与反编译代码必须对应同一版本
4. 细节决定成败：Java审计中一个小疏忽可能导致整天时间浪费

6. 扩展思考

1. 反编译准确性：现代Java混淆技术可能使反编译结果更不可靠
2. 动态调试补充：结合运行时调试可验证静态分析结果
3. 版本控制痕迹：检查.git等目录获取历史版本可能有意外收获

通过这次踩坑经历，强调了在Java安全审计中工具使用和细节检查的重要性，避免因工具问题导致错误判断而浪费时间。