CN108345773B - 基于虚拟机的代码保护方法及装置、电子设备、存储介质 - Google Patents

Abstract

本发明公开了一种基于虚拟机的代码保护方法及装置、电子设备、存储介质，其中，方法包括：解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树；将第一抽象语法树翻译生成第二抽象语法树；其中，第二抽象语法树由虚拟机指令构成；将第二抽象语法树编译生成二进制文件；将二进制文件与程序原文件进行合并，生成新的程序文件。对程序进行反编译并转换为只能够在虚拟机上运行的虚拟机指令。程序执行时，由虚拟机执行转换后的虚拟机指令，完成原来代码的功能。将待保护的代码完全替换，即使对合并后的程序进行反汇编或内存dump，也无法获得可阅读的原代码，大大提升了代码保护的安全性。

Description

基于虚拟机的代码保护方法及装置、电子设备、存储介质

技术领域

本发明涉及数据安全领域，尤其涉及一种基于虚拟机的代码保护方法及装置、电子设备、存储介质。

背景技术

随着移动互联技术的发展，移动应用的数量呈现快速增长。但在移动应用快速增长的背后，却潜藏着较大的隐患。移动应用的安全，需要进一步的加强。由于移动应用的井喷式发展，使得在设计开发移动应用时没有过多的考虑到移动应用的安全性。当黑客通过对移动应用进行反向工程，可以很容易地破解移动应用，从而对移动应用的市场造成较大的经济损失。

现有技术一般采用通过加密的方法对应用程序中的关键代码进行加固，使应用程序得到保护。这种加固方法包括加密过程和解密过程。通过加密过程对应用程序中的关键代码进行加固，当动态执行应用程序时进行解密。但这种方法使得加密算法通过逆向被保护程序分析得到，进而破解加密算法，对应用程序进行解密。

因此，需要一种从根本上包含代码安全的代码保护方法。

发明内容

本发明的发明目的是针对现有技术的缺陷，提供了一种基于虚拟机的代码保护方法及装置、电子设备、存储介质，用于解决现有技术中代码加密算法易被破解等问题。

根据本发明的一个方面，提供了一种基于虚拟机的代码保护方法，包括：

解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树；

将第一抽象语法树翻译生成第二抽象语法树；其中，第二抽象语法树由虚拟机指令构成；

将第二抽象语法树编译生成二进制文件；

将二进制文件与程序原文件进行合并，生成新的程序文件。

根据本发明的另一个方面，还提供了一种基于虚拟机的代码保护装置，包括：

反编译模块，用于解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树；

翻译模块，用于将第一抽象语法树翻译生成第二抽象语法树；其中，第二抽象语法树由虚拟机指令构成；

编译模块，用于将第二抽象语法树编译生成二进制文件；

合并模块，用于将二进制文件与程序原文件进行合并，生成新的程序文件。

根据本发明的又一方面，提供了一种电子设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行上述基于虚拟机的代码保护方法对应的操作。

根据本发明的再一方面，提供了一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如上述基于虚拟机的代码保护方法对应的操作。

根据本发明提供的基于虚拟机的代码保护方法及装置、电子设备、存储介质，解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树；将第一抽象语法树翻译生成第二抽象语法树；其中，第二抽象语法树由虚拟机指令构成；将第二抽象语法树编译生成二进制文件；将二进制文件与程序原文件进行合并，生成新的程序文件。对程序进行反编译并转换为只能够在虚拟机上运行的虚拟机指令。程序执行时，由虚拟机执行转换后的虚拟机指令，完成原来代码的功能。将待保护的代码完全替换，即使对合并后的程序进行反汇编或内存dump，也无法获得可阅读的原代码，大大提升了代码保护的安全性。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明一个实施例的基于虚拟机的代码保护方法的流程示意图；

图2示出了根据本发明另一个实施例的基于虚拟机的代码保护方法的流程示意图；

图3示出了合并后新的程序执行过程示意图；

图4示出了根据本发明一个实施例的基于虚拟机的代码保护装置的功能结构示意图；

图5示出了根据本发明另一个实施例的基于虚拟机的代码保护装置的功能结构示意图；

图6示出了根据本发明一个实施例的一种电子设备的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本发明可以对应用程序中的代码进行保护，应用程序为可执行文件，其类型可以为so文件、Linux平台可执行文件、ios平台可执行文件、osx平台可执行文件、安卓平台可执行文件等。

图1示出了根据本发明一个实施例的基于虚拟机的代码保护方法的流程示意图，如图1所示，该方法具体包括如下步骤：

步骤S101，解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树。

解析程序原文件，找到程序原文件中待保护的代码。对程序原文件中待保护的代码可以预先设置标记，通过找到预先设置的标记找到待保护的代码。对该代码进行反编译，将其生成第一抽象语法树。在生成第一抽象语法树时，根据代码所使用的语言将其生成对应语言的第一抽象语法树。

步骤S102，将第一抽象语法树翻译生成第二抽象语法树。

其中，第二抽象语法树由虚拟机指令构成。使用预设编码表将第一抽象语法树翻译生成第二抽象语法树，预设编码表将第一抽象语法树对应的翻译成第二抽象语法树。预设编码表可以为多个，每个编码表的编码方式不同。对不同的代码的第一抽象语法树翻译时使用不同的预设编码表，或者还可以对相同的代码的第一首选语法树在每次翻译时使用不同的预设编码表，得到不同的第二抽象语法树。进一步，预设编码表可以是随机生成的。

步骤S103，将第二抽象语法树编译生成二进制文件。

将待保护代码对应的该第二抽象语法树进行编译，生成二进制文件。该二进制文件为可执行文件，其中仅包括了待保护的代码。

步骤S104，将二进制文件与程序原文件进行合并，生成新的程序文件。

在将二进制文件与程序原文件进行合并时，还需要在程序原文件中调用待保护的代码入口处添加跳转指令，以供该待保护的代码被调用时可以进入虚拟机，由虚拟机完成对该待保护代码对应的虚拟机指令的调用。同时将程序原文件中待保护代码进行擦除处理，即将程序原文件中待保护代码消除，使得程序原文件中不保留待保护代码的原文。这样即使程序原文件被破解也无法得到待保护代码。

根据本发明提供的基于虚拟机的代码保护方法，解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树；将第一抽象语法树翻译生成第二抽象语法树；其中，第二抽象语法树由虚拟机指令构成；将第二抽象语法树编译生成二进制文件；将二进制文件与程序原文件进行合并，生成新的程序文件。对程序进行反编译并转换为只能够在虚拟机上运行的虚拟机指令。程序执行时，由虚拟机执行转换后的虚拟机指令，以完成待保护代码所实现的功能。将待保护的代码完全替换，即使对合并后的程序进行反汇编或内存dump，也无法获得可阅读的原代码，大大提升了代码保护的安全性。进一步，在生成第二抽象语法树时可以使用不同的预设编码表，增加虚拟机指令破解的难度，更好的保护代码安全。

图2示出了根据本发明另一个实施例的基于虚拟机的代码保护方法的流程示意图，如图2所示，该方法具体包括如下步骤：

步骤S201，解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树。

步骤S202，将待保护的代码中控制转移信息进行计算和保存。

解析程序原文件，找到程序原文件中待保护的代码。对该代码进行反编译，将其生成第一抽象语法树。同时，为了使后续生成的第二抽象语法树中涉及程序控制转移的逻辑与待保护的代码中的程序控制转移的逻辑一致，需要将该待保护的代码中控制转移信息进行计算和保存。控制转移信息包括第一跳转偏移量和第一跳转指令目标虚地址。通过分析待保护的代码中的控制转移涉及的跳转指令，可以获得程序原文件待保护的代码中跳转指令本身要跳转至的地址，即第一跳转指令目标虚地址。通过计算第一跳转指令目标虚地址和跳转指令本身地址的差值，可以得到第一跳转偏移量。将计算得到的第一跳转偏移量和对应的第一跳转指令目标虚地址进行保存。

步骤S203，将第一抽象语法树翻译生成第二抽象语法树。

步骤S204，根据虚拟机指令类型生成解释执行单元和/或跳转表。

第二抽象语法树由虚拟机指令构成。使用预设编码表将第一抽象语法树翻译生成第二抽象语法树。同时，根据虚拟机指令的不同类型生成对应的解释执行单元和/或跳转表。其中，解释执行单元、跳转表和预设编码表所使用的编码需要保持一致，便于后续的虚拟机执行该虚拟机指令。

解释执行单元需遵循虚拟机引擎的内存布局，以保证与待保护的代码的语义完全一致。解释执行单元可以使用实际的机器指令如汇编指令进行编写，并且解释执行单元的具体实现代码同样可以根据其选取的寄存器等不同进行随机化生成。进一步，在解释执行单元中还可以加入混淆代码。混淆代码可以增加对虚拟机指令的破解难度。

步骤S205，将第二抽象语法树编译生成二进制文件。

将待保护代码对应的该第二抽象语法树进行编译，生成二进制文件。该二进制文件为可执行文件，其中仅包括了待保护的代码。

步骤S206，修复二进制文件中的跳转指令，并进行重编译。

当待保护的代码中包含了程序控制转移的逻辑，在将其进行反编译并翻译生成第二抽象语法树时，其中跳转指令的目标虚地址与待保护的代码中的第一跳转指令目标虚地址可能存在不一致。为使虚拟机执行该虚拟机指令可以正确完成对应的功能，需要对跳转指令的逻辑进行修复。

在修复时，需要先解析该二进制文件，得到跳转指令的第二跳转指令目标虚地址。根据第一跳转偏移量、第一跳转指令目标虚地址和第二跳转指令目标虚地址，计算得到第二跳转偏移量。第二跳转偏移量＝第一跳转偏移量+第二跳转指令目标虚地址-第一跳转指令目标虚地址。将二进制文件中跳转指令的操作数修改为第二跳转偏移量。再对修改后的二进制文件进行重新编译，得到修复后的二进制文件。其中，二进制文件包括虚拟机引擎、解释执行单元、跳转表、虚拟机字节码、预设编码表等。虚拟机引擎可以保护程序原有的执行环境，不影响程序中其他代码的运行。并且初始化虚拟机的内存布局，可以循环的调用解释执行单元，实现虚拟机指令的运行。跳转表以及解释执行单元可以解释执行具体的虚拟机指令。本发明每次可以随机生成跳转表和解释执行单元的顺序，且所使用的预设编码表不固定，为可变化的预设编码表。虚拟机字节码根据待保护的代码和预设编码表生成，其无法被反编译。

步骤S207，将二进制文件与程序原文件进行合并，生成新的程序文件。

在将二进制文件与程序原文件进行合并时，还需要在程序原文件中调用待保护的代码入口处添加跳转指令，以供该待保护的代码被调用时可以进入虚拟机，由虚拟机完成对该待保护代码对应的虚拟机指令的调用。同时将程序原文件中待保护代码进行擦除处理，即将程序原文件中待保护代码消除，使得程序原文件中不保留待保护代码的原文，而替换为一系列的跳转至虚拟机引擎的代码，或者还可以保护混淆代码。这样即使程序原文件被破解也无法得到待保护代码。

进一步，在运行该合并后的新的程序文件时，其执行过程可以参照图3所示。由于除待保护的代码以外的程序其他代码维持不变，对待保护的代码的调用维持原样。仅待保护的代码被替换，当调用该待保护的代码时，实际执行时会跳转至虚拟机引擎。由虚拟机引擎在完成虚拟机的内存布局初始化、环境保存后，循环处理每条虚拟机指令。在处理时，根据虚拟机指令类型计算相应跳转表项的地址，并控制转移至跳转表相应的表项。跳转表控制转移至相应的解释执行单元，每个跳转表项对应一个解释执行单元。解释执行单元完成虚拟机指令的实际功能。待保护的代码若需要调用其他代码，在对其他代码的调用也由解释执行单元完成(包括环境切换)。待保护的代码执行完成后直接由解释执行单元的执行环境还原并返回至待保护的代码的调用方。

根据本发明提供的基于虚拟机的代码保护方法，解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树；将第一抽象语法树翻译生成第二抽象语法树；其中，第二抽象语法树由虚拟机指令构成；将第二抽象语法树编译生成二进制文件；将二进制文件与程序原文件进行合并，生成新的程序文件。对程序进行反编译并转换为只能够在虚拟机上运行的虚拟机指令。程序执行时，由虚拟机执行转换后的虚拟机指令，以完成待保护代码所实现的功能。将待保护的代码完全替换，即使对合并后的程序进行反汇编或内存dump，也无法获得可阅读的原代码，大大提升了代码保护的安全性。同时，对生成的二进制文件中涉及跳转指令的逻辑进行修复，以实现原待保护的代码的跳转指令的逻辑，不影响程序原文件的执行。进一步，在生成第二抽象语法树时可以使用不同的预设编码表，增加虚拟机指令破解的难度，更好的保护代码安全。

图4示出了根据本发明一个实施例的基于虚拟机的代码保护装置的功能框图，如图4所示，本装置中包含以下模块：

反编译模块410，用于解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树。

反编译模块410解析程序原文件，找到程序原文件中待保护的代码。对程序原文件中待保护的代码可以预先设置标记，反编译模块410通过找到预先设置的标记找到待保护的代码。反编译模块410对该代码进行反编译，将其生成第一抽象语法树。在反编译模块410生成第一抽象语法树时，根据代码所使用的语言将其生成对应语言的第一抽象语法树。

翻译模块420，用于将第一抽象语法树翻译生成第二抽象语法树。

其中，第二抽象语法树由虚拟机指令构成。翻译模块420使用预设编码表将第一抽象语法树翻译生成第二抽象语法树，预设编码表将第一抽象语法树对应的翻译成第二抽象语法树。预设编码表可以为多个，每个编码表的编码方式不同。翻译模块420对不同的代码的第一抽象语法树翻译时使用不同的预设编码表，或者还可以翻译模块420对相同的代码的第一首选语法树在每次翻译时使用不同的预设编码表，得到不同的第二抽象语法树。进一步，预设编码表可以是随机生成的。

编译模块430，用于将第二抽象语法树编译生成二进制文件。

编译模块430将待保护代码对应的该第二抽象语法树进行编译，生成二进制文件。该二进制文件为可执行文件，其中仅包括了待保护的代码。

合并模块440，用于将二进制文件与程序原文件进行合并，生成新的程序文件。

合并模块440还包括了合并单元441、跳转单元442和擦除单元443。

合并单元441，用于将二进制文件与程序原文件进行合并。

跳转单元442，用于在待保护的代码入口处添加跳转指令，以供被调用时进入虚拟机。

擦除单元443，用于将程序原文件中待保护的代码进行擦除处理。

合并单元441在将二进制文件与程序原文件进行合并时，还需要跳转单元442在程序原文件中调用待保护的代码入口处添加跳转指令，以供该待保护的代码被调用时可以进入虚拟机，由虚拟机完成对该待保护代码对应的虚拟机指令的调用。同时擦除单元443将程序原文件中待保护代码进行擦除处理，即擦除单元443将程序原文件中待保护代码消除，使得程序原文件中不保留待保护代码的原文。这样即使程序原文件被破解也无法得到待保护代码。

根据本发明提供的基于虚拟机的代码保护装置，解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树；将第一抽象语法树翻译生成第二抽象语法树；其中，第二抽象语法树由虚拟机指令构成；将第二抽象语法树编译生成二进制文件；将二进制文件与程序原文件进行合并，生成新的程序文件。对程序进行反编译并转换为只能够在虚拟机上运行的虚拟机指令。程序执行时，由虚拟机执行转换后的虚拟机指令，以完成待保护代码所实现的功能。将待保护的代码完全替换，即使对合并后的程序进行反汇编或内存dump，也无法获得可阅读的原代码，大大提升了代码保护的安全性。进一步，在生成第二抽象语法树时可以使用不同的预设编码表，增加虚拟机指令破解的难度，更好的保护代码安全。

图5示出了根据本发明另一个实施例的基于虚拟机的代码保护装置的功能框图，如图5所示，与图4相比，本装置还包括如下模块：

转移信息保存模块450，用于将待保护的代码中控制转移信息进行计算和保存。

反编译模块410在解析程序原文件，找到程序原文件中待保护的代码，并对该代码进行反编译，将其生成第一抽象语法树的同时，为了使后续生成的第二抽象语法树中涉及程序控制转移的逻辑与待保护的代码中的程序控制转移的逻辑一致，转移信息保存模块450需要将该待保护的代码中控制转移信息进行计算和保存。控制转移信息包括第一跳转偏移量和第一跳转指令目标虚地址。转移信息保存模块450通过分析待保护的代码中的控制转移涉及的跳转指令，可以获得程序原文件待保护的代码中跳转指令本身要跳转至的地址，即第一跳转指令目标虚地址。转移信息保存模块450通过计算第一跳转指令目标虚地址和跳转指令本身地址的差值，可以得到第一跳转偏移量。转移信息保存模块450将计算得到的第一跳转偏移量和对应的第一跳转指令目标虚地址进行保存。

生成模块460，用于根据虚拟机指令类型生成解释执行单元和/或跳转表。

翻译模块420使用预设编码表将第一抽象语法树翻译生成第二抽象语法树。同时，生成模块460根据虚拟机指令的不同类型生成对应的解释执行单元和/或跳转表。其中，解释执行单元、跳转表和预设编码表所使用的编码需要保持一致，便于后续的虚拟机执行该虚拟机指令。

解释执行单元需遵循虚拟机引擎的内存布局，以保证与待保护的代码的语义完全一致。解释执行单元可以使用实际的机器指令如汇编指令进行编写，并且解释执行单元的具体实现代码同样可以根据其选取的寄存器等不同进行随机化生成。进一步，生成模块460还可以在解释执行单元中加入混淆代码。混淆代码可以增加对虚拟机指令的破解难度。

修复模块470，用于修复所述二进制文件中的跳转指令，并进行重编译。

修复模块470还包括解析模块471、计算模块472、修改模块473和重编译模块474。

解析模块471，用于解析二进制文件，得到跳转指令的第二跳转指令目标虚地址。

计算模块472，用于根据第一跳转偏移量、第一跳转指令目标虚地址和第二跳转指令目标虚地址，计算得到第二跳转偏移量。

修改模块473，用于将二进制文件中跳转指令的操作数修改为第二跳转偏移量。

重编译模块474，用于对修改后的二进制文件进行重新编译。

当待保护的代码中包含了程序控制转移的逻辑，翻译模块420翻译生成第二抽象语法树时，其中跳转指令的目标虚地址与待保护的代码中的第一跳转指令目标虚地址可能存在不一致。为使虚拟机执行该虚拟机指令可以正确完成对应的功能，修复模块470需要对跳转指令的逻辑进行修复。

修复模块470在修复时，需要解析模块471先解析该二进制文件，得到跳转指令的第二跳转指令目标虚地址。计算模块472根据第一跳转偏移量、第一跳转指令目标虚地址和第二跳转指令目标虚地址，计算得到第二跳转偏移量。第二跳转偏移量＝第一跳转偏移量+第二跳转指令目标虚地址-第一跳转指令目标虚地址。修改模块473将二进制文件中跳转指令的操作数修改为第二跳转偏移量。重编译模块474再对修改后的二进制文件进行重新编译，得到修复后的二进制文件。其中，二进制文件包括虚拟机引擎、解释执行单元、跳转表、虚拟机字节码、预设编码表等。虚拟机引擎可以保护程序原有的执行环境，不影响程序中其他代码的运行。并且初始化虚拟机的内存布局，可以循环的调用解释执行单元，实现虚拟机指令的运行。跳转表以及解释执行单元可以解释执行具体的虚拟机指令。本发明每次可以随机生成跳转表和解释执行单元的顺序，且所使用的预设编码表不固定，为可变化的预设编码表。虚拟机字节码根据待保护的代码和预设编码表生成，其无法被反编译。

进一步，在运行该合并后的新的程序文件时，其执行过程可以参照图3所示。由于除待保护的代码以外的程序其他代码维持不变，对待保护的代码的调用维持原样。仅待保护的代码被替换，当调用该待保护的代码时，实际执行时会跳转至虚拟机引擎。由虚拟机引擎在完成虚拟机的内存布局初始化、环境保存后，循环处理每条虚拟机指令。在处理时，根据虚拟机指令类型计算相应跳转表项的地址，并控制转移至跳转表相应的表项。跳转表控制转移至相应的解释执行单元，每个跳转表项对应一个解释执行单元。解释执行单元完成虚拟机指令的实际功能。待保护的代码若需要调用其他代码，在对其他代码的调用也由解释执行单元完成(包括环境切换)。待保护的代码执行完成后直接由解释执行单元的执行环境还原并返回至待保护的代码的调用方。

除以上模块之外的其他模块可参考图4装置实施例的描述，此处不再赘述。

根据本发明提供的基于虚拟机的代码保护装置，解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树；将第一抽象语法树翻译生成第二抽象语法树；其中，第二抽象语法树由虚拟机指令构成；将第二抽象语法树编译生成二进制文件；将二进制文件与程序原文件进行合并，生成新的程序文件。对程序进行反编译并转换为只能够在虚拟机上运行的虚拟机指令。程序执行时，由虚拟机执行转换后的虚拟机指令，以完成待保护代码所实现的功能。将待保护的代码完全替换，即使对合并后的程序进行反汇编或内存dump，也无法获得可阅读的原代码，大大提升了代码保护的安全性。同时，对生成的二进制文件中涉及跳转指令的逻辑进行修复，以实现原待保护的代码的跳转指令的逻辑，不影响程序原文件的执行。进一步，在生成第二抽象语法树时可以使用不同的预设编码表，增加虚拟机指令破解的难度，更好的保护代码安全。

本申请还提供了一种非易失性计算机存储介质，所述计算机存储介质存储有至少一可执行指令，该计算机可执行指令可执行上述任意方法实施例中的基于虚拟机的代码保护方法。

图6示出了根据本发明一个实施例的一种电子设备的结构示意图，本发明具体实施例并不对电子设备的具体实现做限定。

如图6所示，该电子设备可以包括：处理器(processor)602、通信接口(Communications Interface)604、存储器(memory)606、以及通信总线608。

其中：

处理器602、通信接口604、以及存储器606通过通信总线608完成相互间的通信。

通信接口604，用于与其它设备比如客户端或其它服务器等的网元通信。

处理器602，用于执行程序610，具体可以执行上述基于虚拟机的代码保护方法实施例中的相关步骤。

具体地，程序610可以包括程序代码，该程序代码包括计算机操作指令。

处理器602可能是中央处理器CPU，或者是特定集成电路ASIC(ApplicationSpecific Integrated Circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。电子设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个CPU；也可以是不同类型的处理器，如一个或多个CPU以及一个或多个ASIC。

存储器606，用于存放程序610。存储器606可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。

程序610具体可以用于使得处理器602执行以下操作：

在一种可选的实施方式中，程序610用于使得处理器602解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树；将第一抽象语法树翻译生成第二抽象语法树；其中，第二抽象语法树由虚拟机指令构成；将第二抽象语法树编译生成二进制文件；将二进制文件与程序原文件进行合并，生成新的程序文件。

在一种可选的实施方式中，程序610用于使得处理器602使用预设编码表将第一抽象语法树翻译生成第二抽象语法树。

在一种可选的实施方式中，程序610用于使得处理器602将二进制文件与程序原文件进行合并；在待保护的代码入口处添加跳转指令，以供被调用时进入虚拟机；将程序原文件中待保护的代码进行擦除处理。

在一种可选的实施方式中，程序610用于使得处理器602根据虚拟机指令类型生成解释执行单元和/或跳转表。

在一种可选的实施方式中，程序610用于使得处理器602将待保护的代码中控制转移信息进行计算和保存；其中，控制转移信息包括第一跳转偏移量和第一跳转指令目标虚地址。

在一种可选的实施方式中，程序610用于使得处理器602修复二进制文件中的跳转指令，并进行重编译。

在一种可选的实施方式中，程序610用于使得处理器602解析二进制文件，得到跳转指令的第二跳转指令目标虚地址；根据第一跳转偏移量、第一跳转指令目标虚地址和第二跳转指令目标虚地址，计算得到第二跳转偏移量；其中，第二跳转偏移量＝第一跳转偏移量+第二跳转指令目标虚地址-第一跳转指令目标虚地址；将二进制文件中跳转指令的操作数修改为第二跳转偏移量；对修改后的二进制文件进行重新编译。

在一种可选的实施方式中，二进制文件包括虚拟机引擎、解释执行单元、跳转表、虚拟机字节码和/或预设编码表。

程序610中各步骤的具体实现可以参见上述加密程序识别实施例中的相应步骤和单元中对应的描述，在此不赘述。所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的设备和模块的具体工作过程，可以参考前述方法实施例中的对应过程描述，在此不再赘述。

通过本实施例提供的方案，解析程序原文件，将程序中待保护的代码进行反编译，得到第一抽象语法树；将第一抽象语法树翻译生成第二抽象语法树；其中，第二抽象语法树由虚拟机指令构成；将第二抽象语法树编译生成二进制文件；将二进制文件与程序原文件进行合并，生成新的程序文件。对程序进行反编译并转换为只能够在虚拟机上运行的虚拟机指令。程序执行时，由虚拟机执行转换后的虚拟机指令，完成原来代码的功能。将待保护的代码完全替换，即使对合并后的程序进行反汇编或内存dump，也无法获得可阅读的原代码，大大提升了代码保护的安全性。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (16)

1.一种基于虚拟机的代码保护方法，其特征在于，包括：

解析程序原文件，将所述程序中待保护的代码进行反编译，得到第一抽象语法树；

使用预设编码表将所述第一抽象语法树翻译生成第二抽象语法树；其中，所述第二抽象语法树由虚拟机指令构成；所述预设编码表为多个，每个编码表的编码方式不同；对不同的代码的第一抽象语法树翻译时使用不同的预设编码表，或者，对相同的代码的第一抽象语法树在每次翻译时使用不同的预设编码表；所述预设编码表为随机生成的；

将所述第二抽象语法树编译生成二进制文件；

将所述二进制文件与所述程序原文件进行合并，生成新的程序文件。

2.根据权利要求1所述的方法，其特征在于，所述将所述二进制文件与所述程序原文件进行合并，生成新的程序文件进一步包括：

将所述二进制文件与所述程序原文件进行合并；

在所述待保护的代码入口处添加跳转指令，以供被调用时进入虚拟机；

将所述程序原文件中待保护的代码进行擦除处理。

3.根据权利要求1所述的方法，其特征在于，在将所述第一抽象语法树翻译生成第二抽象语法树之后，所述方法还包括：

根据虚拟机指令类型生成解释执行单元和/或跳转表。

4.根据权利要求1所述的方法，其特征在于，在所述解析程序，将所述程序中待保护的代码进行反编译，得到第一抽象语法树之后，所述方法还包括：

将所述待保护的代码中控制转移信息进行计算和保存；其中，所述控制转移信息包括第一跳转偏移量和第一跳转指令目标虚地址。

5.根据权利要求4所述的方法，其特征在于，在将所述第二抽象语法树编译生成二进制文件之后，所述方法还包括：

修复所述二进制文件中的跳转指令，并进行重编译。

6.根据权利要求5所述的方法，其特征在于，所述修复所述二进制文件中的跳转指令，并进行重编译进一步包括：

解析所述二进制文件，得到跳转指令的第二跳转指令目标虚地址；

根据所述第一跳转偏移量、第一跳转指令目标虚地址和第二跳转指令目标虚地址，计算得到第二跳转偏移量；其中，所述第二跳转偏移量＝第一跳转偏移量+第二跳转指令目标虚地址-第一跳转指令目标虚地址；

将所述二进制文件中跳转指令的操作数修改为第二跳转偏移量；

对修改后的二进制文件进行重新编译。

7.根据权利要求1-6任一项所述的方法，其特征在于，所述二进制文件包括虚拟机引擎、解释执行单元、跳转表、虚拟机字节码和/或预设编码表。

8.一种基于虚拟机的代码保护装置，其特征在于，包括：

反编译模块，用于解析程序原文件，将所述程序中待保护的代码进行反编译，得到第一抽象语法树；

翻译模块，用于使用预设编码表将所述第一抽象语法树翻译生成第二抽象语法树；其中，所述第二抽象语法树由虚拟机指令构成；所述预设编码表为多个，每个编码表的编码方式不同；对不同的代码的第一抽象语法树翻译时使用不同的预设编码表，或者，对相同的代码的第一抽象语法树在每次翻译时使用不同的预设编码表；所述预设编码表为随机生成的；

编译模块，用于将所述第二抽象语法树编译生成二进制文件；

合并模块，用于将所述二进制文件与所述程序原文件进行合并，生成新的程序文件。

9.根据权利要求8所述的装置，其特征在于，所述合并模块还包括：

合并单元，用于将所述二进制文件与所述程序原文件进行合并；

跳转单元，用于在所述待保护的代码入口处添加跳转指令，以供被调用时进入虚拟机；

擦除单元，用于将所述程序原文件中待保护的代码进行擦除处理。

10.根据权利要求8所述的装置，其特征在于，所述装置还包括：

生成模块，用于根据虚拟机指令类型生成解释执行单元和/或跳转表。

11.根据权利要求10所述的装置，其特征在于，所述装置还包括：

转移信息保存模块，用于将所述待保护的代码中控制转移信息进行计算和保存；其中，所述控制转移信息包括第一跳转偏移量和第一跳转指令目标虚地址。

12.根据权利要求11所述的装置，其特征在于，所述装置还包括：

修复模块，用于修复所述二进制文件中的跳转指令，并进行重编译。

13.根据权利要求12所述的装置，其特征在于，所述修复模块还包括：

解析模块，用于解析所述二进制文件，得到跳转指令的第二跳转指令目标虚地址；

计算模块，用于根据所述第一跳转偏移量、第一跳转指令目标虚地址和第二跳转指令目标虚地址，计算得到第二跳转偏移量；其中，所述第二跳转偏移量＝第一跳转偏移量+第二跳转指令目标虚地址-第一跳转指令目标虚地址；

修改模块，用于将所述二进制文件中跳转指令的操作数修改为第二跳转偏移量；

重编译模块，用于对修改后的二进制文件进行重新编译。

14.根据权利要求8-13任一项所述的装置，其特征在于，所述二进制文件包括虚拟机引擎、解释执行单元、跳转表、虚拟机字节码和/或预设编码表。

15.一种电子设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如权利要求1-7中任一项所述的基于虚拟机的代码保护方法对应的操作。

16.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如权利要求1-7中任一项所述的基于虚拟机的代码保护方法对应的操作。

Images