一、为什么要破解x-pack?
因为涉及到了ES服务的安全性.ES服务如果被劫持,数据直接会被删除。ES登录账号和密码的设置是通过x-pack来实现的，官方只给了免费的30天的使用权，而且购买插件每年需要不少的钱，这对于中小型企业来说，是一笔不小的开支，然后你懂的。
二、本次任务是在搭建好的elk基础上进行破解elasticsearch6.8.1 x-pack插件
三、适用范围所有ES版本5.*，6.*，7目前还没研究过，破解原理大致相同。
四、开始搭建
elk6.3版本之后，x-pack都是默认安装，无需install
1.重写x-pack下的2个类:LicenseVerifier.java和XPackBuild.java，反编译破解补丁
创建目录test
mkdir test
cd test
vim LicenseVerifier.java
package org.elasticsearch.license;
import java.nio.*; import java.util.*;
import java.security.*;
import org.elasticsearch.common.xcontent.*;
import org.apache.lucene.util.*;
import org.elasticsearch.common.io.*;
import java.io.*;
public class LicenseVerifier {
public static boolean verifyLicense(final License license, final byte[] encryptedPublicKeyData) {
return true;
}
public static boolean verifyLicense(final License license) {
return true;
}
}
vim XPackBuild.java
package org.elasticsearch.xpack.core;
import org.elasticsearch.common.io.*;
import java.net.*;
import org.elasticsearch.common.*;
import java.nio.file.*;
import java.io.*;
import java.util.jar.*;
public class XPackBuild {
public static final XPackBuild CURRENT;
private String shortHash;
private String date;
@SuppressForbidden(reason = "looks up path of xpack.jar directly") static Path getElasticsearchCodebase() {
final URL url = XPackBuild.class.getProtectionDomain().getCodeSource().getLocation();
try { return PathUtils.get(url.toURI()); }
catch (URISyntaxException bogus) {
throw new RuntimeException(bogus); }
}
XPackBuild(final String shortHash, final String date) {
this.shortHash = shortHash;
this.date = date;
}
public String shortHash() {
return this.shortHash;
}
public String date(){
return this.date;
}
static {
final Path path = getElasticsearchCodebase();
String shortHash = null;
String date = null;
Label_0157: { shortHash = "Unknown"; date = "Unknown";
}
CURRENT = new XPackBuild(shortHash, date);
}
}
将刚创建的两个java包打包成class文件，我们需要做的就是替换这两个class文件（因里面需要引用到其他的jar，故需要用到javac -cp命令）
javac -cp "/usr/local/elasticsearch/lib/elasticsearch-6.8.1.jar:/usr/local/elasticsearch/lib/lucene-core-7.7.0.jar:/usr/local/elasticsearch/modules/x-pack-core/x-pack-core-6.8.1..jar" LicenseVerifier.java
javac -cp "/usr/local/elasticsearch/lib/elasticsearch-6.8.1.jar:/usr/local/elasticsearch/lib/lucene-core-7.7.0.jar:/usr/local/elasticsearch/modules/x-pack-core/x-pack-core-6.8.1..jar:/usr/local/elasticsearch/lib/elasticsearch-core-6.8.1..jar" XPackBuild.java
会生成2个class文件
LicenseVerifier.class
XPackBuild.class
把原文件给解压出来，然后覆盖生成新的文件
cp -a /usr/local/elasticsearch/modules/x-pack-core/x-pack-core-6.8.1.jar .
jar -xf x-pack-core-6.8.1.jar
删除多余的文件
mv x-pack-core-6.8.1.jar /tmp/
rm -rf LicenseVerifier.java XPackBuild.java
\cp -a LicenseVerifier.class org/elasticsearch/license/
\cp -a XPackBuild.class org/elasticsearch/xpack/core/
rm -rf LicenseVerifier.class XPackBuild.class
压缩，替换原文件
jar -cvf x-pack-core-6.8.1.jar *
cp -a x-pack-core-6.8.1.jar /usr/local/elasticsearch/modules/x-pack-core/
chown -R elasticsearch. /usr/local/elasticsearch/
服务重启
kill -9 `ps -ef|grep "elasticsearch\/lib"|awk '{print $2}'`
su - elasticsearch
cd /usr/local/elasticsearch/bin/
./elasticsearch -d
到此破解补丁准备完成。
2.去官网申请license证书https://license.elastic.co/registration官网地址；邮箱需要认真写，主要用来接收json文件，其他可以随便写.然后就是修改申请到的证书，主要修改如下：
"type":"basic" 替换为 "type":"platinum" # 基础版变更为铂金版
"expiry_date_in_millis":1561420799999 替换为 "expiry_date_in_millis":3107746200000# 1年变为50年
3.上传证书完成修改
上传证书主要有两种方法：
(1)在kibana上传证书
上传前准备,打开/usr/local/elasticsearch/config/elasticsearch.yml配置文件加入
xpack.security.enabled: false
启动elasticsearch服务和kibana服务，上传证书,上传成功时可以看到时间由1个月变成50年，到此破解x-pack已经成功了.
(2)在命令行
将证书上传到主机，从命令行导入,默认为changeme：
curl -XPUT -u elastic:changeme 'http://node02:9200/_xpack/license' -H "Content-Type: application/json" -d @license.json
查看是否破解成功：
curl -XGET -u elastic:changeme node02:9200/_license
如果看到类型为platinum，expiry_date变为50年，表示破解成功.
到此，x-pack插件破解完成！
5.开启ES的登录功能
1.重置登陆权限密码(如果是集群，需要在每个节点都要重置密码，并且密码要相同)
bin/elasticsearch-setup-passwords interactive
按步骤分别重置elastic/kibana等账号的密码
elastic就是登陆elasticsearch服务的最高权限账号
2.修改/usr/local/elasticsearch/config/elasticsearch.yml配置
添加如下2行,打开安全配置功能
xpack.security.enabled: true
xpack.security.transport.ssl.enabled: true
3.修改kibana配置
在/usr/local/kibana/config/kibana.yml下添加如下两行
elasticsearch.username: "elastic"
elasticsearch.password: "password"
此处修改完后，重启ES和kibana服务就需要登陆账号和密码了
4.x-pack设置完毕后，head无法登陆的问题
在/usr/local/elasticsearch/config/elasticsearch.yml中添加如下三行配置
http.cors.enabled: true
http.cors.allow-origin: "*"
http.cors.allow-headers: Authorization,X-Requested-With,Content-Length,Content-Type
重启服务，并通过如下形式访问head端口
http://10.0.0.11:9100/?auth_user=elastic&auth_password=passwd
最后供上我破解的文件，只需要更换就可以：
链接:https://pan.baidu.com/s/1gnZQCV-bmRIARdmDNiz1TA
提取码:0ls5