elasticsearch6.8.1 x-pack插件破解

一、为什么要破解x-pack?
       因为涉及到了ES服务的安全性.ES服务如果被劫持,数据直接会被删除。ES登录账号和密码的设置是通过x-pack来实现的，官方只给了免费的30天的使用权，而且购买插件每年需要不少的钱，这对于中小型企业来说，是一笔不小的开支，然后你懂的。

二、本次任务是在搭建好的elk基础上进行破解elasticsearch6.8.1 x-pack插件

三、适用范围所有ES版本5.*，6.*，7目前还没研究过，破解原理大致相同。

四、开始搭建

elk6.3版本之后，x-pack都是默认安装，无需install

1.重写x-pack下的2个类:LicenseVerifier.java和XPackBuild.java，反编译破解补丁

创建目录test

mkdir test
cd test

vim LicenseVerifier.java

package org.elasticsearch.license;
import java.nio.*; import java.util.*;
import java.security.*;
import org.elasticsearch.common.xcontent.*;
import org.apache.lucene.util.*;
import org.elasticsearch.common.io.*;
import java.io.*;

public class LicenseVerifier {
public static boolean verifyLicense(final License license, final byte[] encryptedPublicKeyData) {
return true;
} 

public static boolean verifyLicense(final License license) {
return true;
}
}

vim XPackBuild.java

package org.elasticsearch.xpack.core;
import org.elasticsearch.common.io.*;
import java.net.*;
import org.elasticsearch.common.*;
import java.nio.file.*;
import java.io.*;
import java.util.jar.*;
public class XPackBuild {
public static final XPackBuild CURRENT;
private String shortHash;
private String date;
@SuppressForbidden(reason = "looks up path of xpack.jar directly") static Path getElasticsearchCodebase() {
final URL url = XPackBuild.class.getProtectionDomain().getCodeSource().getLocation();
try { return PathUtils.get(url.toURI()); }
catch (URISyntaxException bogus) {
throw new RuntimeException(bogus); }
} 

XPackBuild(final String shortHash, final String date) {
this.shortHash = shortHash;
this.date = date;
} 

public String shortHash() {
return this.shortHash;
}
public String date(){
return this.date;
}

static {
final Path path = getElasticsearchCodebase();
String shortHash = null;
String date = null;
Label_0157: { shortHash = "Unknown"; date = "Unknown";
} 

CURRENT = new XPackBuild(shortHash, date);
}
}

将刚创建的两个java包打包成class文件，我们需要做的就是替换这两个class文件（因里面需要引用到其他的jar，故需要用到javac -cp命令）

javac -cp "/usr/local/elasticsearch/lib/elasticsearch-6.8.1.jar:/usr/local/elasticsearch/lib/lucene-core-7.7.0.jar:/usr/local/elasticsearch/modules/x-pack-core/x-pack-core-6.8.1..jar" LicenseVerifier.java
javac -cp "/usr/local/elasticsearch/lib/elasticsearch-6.8.1.jar:/usr/local/elasticsearch/lib/lucene-core-7.7.0.jar:/usr/local/elasticsearch/modules/x-pack-core/x-pack-core-6.8.1..jar:/usr/local/elasticsearch/lib/elasticsearch-core-6.8.1..jar" XPackBuild.java

会生成2个class文件
LicenseVerifier.class
XPackBuild.class
把原文件给解压出来，然后覆盖生成新的文件

cp -a /usr/local/elasticsearch/modules/x-pack-core/x-pack-core-6.8.1.jar .
jar -xf x-pack-core-6.8.1.jar

删除多余的文件

mv x-pack-core-6.8.1.jar /tmp/
rm -rf LicenseVerifier.java XPackBuild.java
\cp -a LicenseVerifier.class org/elasticsearch/license/
\cp -a XPackBuild.class org/elasticsearch/xpack/core/
rm -rf LicenseVerifier.class XPackBuild.class

压缩，替换原文件

jar -cvf x-pack-core-6.8.1.jar *
cp -a x-pack-core-6.8.1.jar /usr/local/elasticsearch/modules/x-pack-core/
chown -R elasticsearch. /usr/local/elasticsearch/

服务重启

kill -9 `ps -ef|grep "elasticsearch\/lib"|awk '{print $2}'`
su - elasticsearch
cd /usr/local/elasticsearch/bin/
./elasticsearch -d

到此破解补丁准备完成。

2.去官网申请license证书https://license.elastic.co/registration官网地址；邮箱需要认真写，主要用来接收json文件，其他可以随便写.然后就是修改申请到的证书，主要修改如下：

"type":"basic" 替换为 "type":"platinum"    # 基础版变更为铂金版
"expiry_date_in_millis":1561420799999 替换为  "expiry_date_in_millis":3107746200000# 1年变为50年

3.上传证书完成修改

上传证书主要有两种方法：

(1)在kibana上传证书
      上传前准备,打开/usr/local/elasticsearch/config/elasticsearch.yml配置文件加入

xpack.security.enabled: false

启动elasticsearch服务和kibana服务，上传证书,上传成功时可以看到时间由1个月变成50年，到此破解x-pack已经成功了.
(2)在命令行
       将证书上传到主机，从命令行导入,默认为changeme：

curl -XPUT -u elastic:changeme 'http://node02:9200/_xpack/license' -H "Content-Type: application/json" -d @license.json

查看是否破解成功：

curl -XGET -u elastic:changeme node02:9200/_license

如果看到类型为platinum，expiry_date变为50年，表示破解成功.

到此，x-pack插件破解完成！

5.开启ES的登录功能
1.重置登陆权限密码(如果是集群，需要在每个节点都要重置密码，并且密码要相同)

bin/elasticsearch-setup-passwords interactive

按步骤分别重置elastic/kibana等账号的密码
elastic就是登陆elasticsearch服务的最高权限账号

2.修改/usr/local/elasticsearch/config/elasticsearch.yml配置
添加如下2行,打开安全配置功能

xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true

3.修改kibana配置
 在/usr/local/kibana/config/kibana.yml下添加如下两行

elasticsearch.username: "elastic"
elasticsearch.password: "password"

此处修改完后，重启ES和kibana服务就需要登陆账号和密码了

4.x-pack设置完毕后，head无法登陆的问题
在/usr/local/elasticsearch/config/elasticsearch.yml中添加如下三行配置

http.cors.enabled: true
http.cors.allow-origin: "*"
http.cors.allow-headers: Authorization,X-Requested-With,Content-Length,Content-Type

重启服务，并通过如下形式访问head端口

http://10.0.0.11:9100/?auth_user=elastic&auth_password=passwd

最后供上我破解的文件，只需要更换就可以：

链接:https://pan.baidu.com/s/1gnZQCV-bmRIARdmDNiz1TA
提取码:0ls5