我最近无意间发现了一个很有意思的事情,我发现java中的注释可以被编译。
public class App {
public static void main(String[] args) {
String str="hello word";
//\u000dstr="abc";
System.out.println(str);
}
}
运行结果是:输出了abc
这是为什么呢?
如果你仔细看你会发现这行代码//\u000dstr="abc";
有问题;
我有查了一下发现//\u000d
这是一个 Unicode 字符,它代表一个换行符
java是可以编译解析 Unicode的,
将App.java发编译后如下:
Compiled from "App.java"
public class App {
public App();
Code:
0: aload_0
1: invokespecial #1 // Method java/lang/Object."<init>":()V
4: return
public static void main(java.lang.String[]);
Code:
0: ldc #7 // String hello word
2: astore_1
3: ldc #9 // String abc
5: astore_1
6: getstatic #11 // Field java/lang/System.out:Ljava/io/PrintStream;
9: aload_1
10: invokevirtual #17 // Method java/io/PrintStream.println:(Ljava/lang/String;)V
13: return
}
经过反编译后发现其实这个代码只是这样:
public class App {
public static void main(String[] args) {
String str="hello word";
//
str="abc";
System.out.println(str);
}
}
发现这个东西可以干啥呢?我觉得在绕waf还是比较好的比如:将Unicode字符混淆到文件代码中生成一个文件1.txt,内容是abcd。
public class Test {
public static void main(String[] args) {
try {
java.io.FileWriter file=new//\u000djava.\u000dio.\u000dFileWriter\u000d("1.txt");
file.//\u000dwrite//\u000d("abcd");
file.//\u000dclose//\u000d();
System.out.println("创建了一个1.txt");
} catch (java.io.IOException e) {
e.printStackTrace();
}
}
}