Kettle PDI加密密码恢复实战：从碰撞测试到Java解密的完整方案

接手遗留的Kettle ETL项目时，最令人头疼的场景莫过于发现数据库连接配置里躺着一串以"Encrypted"开头的密码，而原始明文早已不知所踪。这种加密机制本是为了安全，却可能让整个数据流水线陷入瘫痪。本文将分享两种经过实战验证的密码恢复方案——从基础的命令行碰撞测试到灵活的Java程序解密，并附上真实环境中的避坑指南。

1. 理解Kettle的密码加密机制

Kettle（现称Pentaho Data Integration）对数据库密码的加密并非传统意义上的单向哈希，而是一种可逆的对称加密。当你在连接配置中输入密码并保存时，Kettle会自动将其转换为"Encrypted"前缀加上32位十六进制字符串的形式。这种设计使得密码可以安全地存储在XML文件中，同时又能被Kettle运行时解密使用。

加密过程的核心是 Encr 类提供的静态方法，其算法本质是：

1. 使用固定的初始化向量(IV)和密钥
2. 采用三重DES加密算法（3DES）
3. 对结果进行Base64编码转换

有趣的是，这种加密方式在不同Kettle版本间保持兼容，这意味着用v7.1加密的密码在v9.0中仍可解密。但这也带来了安全隐患——只要获取加密后的字符串，任何人都可以用相同方法还原密码。

2. 命令行碰撞测试法：encr.sh/encr.bat实战

当手头有Kettle环境但不知道原始密码时，最直接的思路是尝试常见密码组合。Kettle自带的命令行工具正是为此而生：

# Linux/Mac环境
./encr.sh -kettle 'your_guess'

# Windows环境
Encr.bat -kettle "your_guess"

操作步骤详解 ：

1. 定位Kettle安装目录下的脚本文件

   • Linux/Mac： data-integration/encr.sh
   • Windows： data-integration/Encr.bat

2. 准备常见密码字典文件，例如：

   admin
   password
   123456
   root
   test
   

3. 编写自动化测试脚本（Linux示例）：

   #!/bin/bash
   while read -r line; do
     result=$(./encr.sh -kettle "$line")
     echo "尝试: $line → $result"
     if [[ "$result" == "Encrypted 2be98afc86aa7f2e4cb79ce10bec3fd89" ]]; then
       echo "√ 匹配成功！原始密码是: $line"
       exit 0
     fi
   done < password_dict.txt
   echo "× 字典匹配失败"
   

适用场景与局限 ：

优点	缺点
无需编程基础	成功率依赖密码复杂度
快速验证简单密码	不适用于随机强密码
直接使用现有环境	需要完整的Kettle安装

提示：对于有规律的密码（如公司命名规范+日期），可尝试组合爆破。曾有位DBA用"Company@2023"成功恢复了生产环境密码。

3. Java解密方案：构建独立解密工具

当碰撞测试无效或没有Kettle环境时，用Java编写解密程序是最可靠的方案。这种方法直接调用Kettle的加密库，100%还原算法逻辑。

3.1 环境准备与依赖配置

创建Maven项目并添加核心依赖（以Kettle 8.3为例）：

<dependencies>
  <dependency>
    <groupId>org.pentaho</groupId>
    <artifactId>kettle-core</artifactId>
    <version>8.3.0.0-371</version>
  </dependency>
  <dependency>
    <groupId>org.pentaho</groupId>
    <artifactId>kettle-engine</artifactId>
    <version>8.3.0.0-371</version>
  </dependency>
</dependencies>

版本兼容性参考表 ：

Kettle版本	可用artifact版本范围
7.x	7.0.0.0-25 至 7.1.0.0-12
8.x	8.0.0.0-28 至 8.3.0.0-371
9.x	9.0.0.0-423 及以上

3.2 完整解密代码实现

import org.pentaho.di.core.KettleEnvironment;
import org.pentaho.di.core.encryption.Encr;
import org.pentaho.di.core.exception.KettleException;

public class KettlePasswordRecovery {
    public static void main(String[] args) {
        if (args.length == 0) {
            System.err.println("请传入加密密码字符串");
            return;
        }
        
        try {
            // 初始化Kettle环境（无需完整配置）
            KettleEnvironment.init();
            
            String encrypted = args[0];
            if (!encrypted.startsWith("Encrypted ")) {
                System.err.println("无效的Kettle加密格式");
                return;
            }
            
            // 执行解密
            String decrypted = Encr.decryptPassword(encrypted);
            System.out.println("解密结果: " + decrypted);
        } catch (KettleException e) {
            System.err.println("解密过程中出错:");
            e.printStackTrace();
        }
    }
}

常见错误处理 ：

1. NoClassDefFoundError ：检查是否缺少transitive依赖，可添加：

   <dependency>
     <groupId>commons-codec</groupId>
     <artifactId>commons-codec</artifactId>
     <version>1.15</version>
   </dependency>
   

2. NullPointerException ：确保传入参数包含"Encrypted "前缀

3. 版本冲突：对齐所有pentaho依赖的版本号

3.3 打包为可执行JAR

为了方便团队使用，可将程序打包为带有依赖的JAR：

mvn clean compile assembly:single

执行命令示例：

java -jar kettle-password-recovery.jar "Encrypted 2be98afc86aa7f2e4cb79ce10bec3fd89"

4. 密码管理的最佳实践

恢复密码只是治标，建立规范的密码管理流程才是根本解决方案。根据金融级项目经验，推荐以下实践：

• 集中存储 ：使用Vault、Keycloak等专业密钥管理系统
• 环境隔离 ：为dev/stage/prod环境使用不同凭据
• 访问控制 ：遵循最小权限原则分配密码查看权限
• 自动轮换 ：定期更新密码并自动化部署
• 应急方案 ：在安全位置保存紧急访问凭证

对于Kettle项目特别建议：

1. 在 .kettle/kettle.properties 中定义变量：

   DB_PASSWORD=Encrypted {auto-generated}
   

2. 在连接配置中使用变量引用：

   <connection>
     <name>Production DB</name>
     <password>${DB_PASSWORD}</password>
   </connection>
   

3. 将properties文件纳入版本控制的白名单管理

5. 高级技巧与疑难解答

场景1 ：解密结果出现乱码

• 检查Kettle版本是否匹配
• 确认加密字符串未被截断或修改
• 尝试用 Encr.decryptPasswordOptionallyEncrypted() 方法

场景2 ：需要批量处理多个密码

String[] passwords = {
  "Encrypted 2be98afc86aa7f2e4cb79ce10bec3fd89",
  "Encrypted 2be98afc86aa7f2e4cb79f62886caf782"
};

for (String pwd : passwords) {
  System.out.println(pwd + " → " + Encr.decryptPassword(pwd));
}

性能优化 ：对于频繁解密操作，可缓存初始化结果：

static {
  try {
    KettleEnvironment.init();
  } catch (KettleException e) {
    throw new RuntimeException("初始化失败", e);
  }
}

在一次数据迁移项目中，我们遇到需要解密200+数据库连接配置的情况。通过将Java解密程序与XSLT转换结合，实现了自动化提取和解密，整个过程从预估的8小时缩短到15分钟完成。