我在WebGoat学习JWT

教IT的小强

已于 2024-01-06 18:23:20 修改

阅读量71

点赞数

文章标签：学习

于 2023-08-16 11:00:00 首次发布

本文链接：https://blog.csdn.net/m0_59598029/article/details/132304147

版权

最近比赛出现JWT的题目，利用WebGoat靶场对JWT知识点进行进行学习，不过JWT利用点挺少的，基础学习即可。

WebGoat靶场搭建

WebGoat是一款很好的学习网络安全知识和技巧的入门应用。
这里我利用docker一键部署，方便，目的是为了学习JWT。

mkdir webgoat //新建webgoat文件夹
docker run -d -p 8081:8080 -p 9090:9090 -e TZ=Europe/Amsterdam webgoat/goatandwolf //
docker ps //显示webgoat

IP:8081/WebGoat进行注册，IP:9090/login用户平台

先进行注册
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-bmU4BHmu-1692093041271)(https://image.3001.net/images/20220421/1650533132_6261230c956a80ce0cb8b.png!small)]

什么是JWT

jwt在网络应用环境间传递声明而执行的一种基于JSON的开放标准，jwt用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。

JWT构造

JWT的token组成：Header、Payload、Signature

1.header是base64编码后的头部信息    
	{'typ': 'JWT','alg': 'HS256'}    
	定义了声明type和签名算法alg   
2.payload是base编码的载荷部分，用来包含用户名，权限     
	iss (issuer)：签发人       
	sub (subject)：主题   
	aud (audience)：受众     
	exp (expiration time)：过期时间   
	nbf (Not Before)：生效时间，在此之前是无效的     
	iat (Issued At)：签发时间  
	jti (JWT ID)：编号    
	-定义一个payload:{
	"sub": "l3ife",
	"name": "l3ife",
	 "iat": 888888}
	 对其进行base64加密，得到jwt的第二部分
	eyJzdWIiOiJsM2lmZSIsIm5hbWUiOiJsM2lmZSIsImlhdCI6ODg4ODg4fQ
3.signature是加密后的base64(header)

+base64(payload)内容，防止篡改。

头和声明都由JSON对象表示。标题描述了应用于JWT的加密操作，以及JWT的附加属性（可选）。声明代表一个JSON对象，其成员是JWT传递的声明。

身份验证和获取JWT令牌的过程

用户在服务器成功返回身份验证时使用用户名和密码登录。服务器创建一个新令牌并将其返回给客户端。当客户端连续呼叫服务器时，它会在“授权”头中附加新令牌。服务器读取令牌，并在成功验证后首先验证签名。服务器使用令牌中的信息来标识用户。

方式

基础

解码jwt令牌，把令牌放到jwt.io下

查看到user，将user填到表下
[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-T9i3r0Es-1692093041276)(https://image.3001.net/images/20220421/1650533136_6261231064467becec61a.png!small)]

alg字段设为none（JWT-5）

用户无法投票，只有成为管理员才可以投票，需要更改令牌成为管理员用户，成了管理员用户才可以重置投票

点击Vote Now，抓包发现cookie_session的宝，为jwt令牌，解密得到

声明加密方法为HS512，第二部分声明用户名和权限，可以看到管理员权限为false

将admin改为true，由于加密方法是HS512，且不知道秘钥，所以只能将alg的值改为none，即无加密方法。

ewogICJhbGciOiAib9uZSIKfQ==

ewogICJpYXQiOiAxNjUxMzg0MzMzLAogICJhZG1pbiI6ICJ0cnVlIiwKICAidXNlciI6ICJUb20iCn0=

无加密，不需要Signature部分，点击普通用户旁边的垃圾桶，实现重置

将每部分的值拿去base64加密，去掉=号，并且不需要signature部分，末尾加一个.

通过伪造令牌，越权执行管理员权限

try {
	Jwt jwt = Jwts.parser().setSigningKey(JWT_PASSWORD).parseClaimsJws(accessToken);
	Claims claims = (Claims) jwt.getBody();
  	String user = (String) claims.get("user");
	boolean isAdmin = Boolean.valueOf((String) claims.get("admin"));
	if (isAdmin) {
 		removeAllUsers();
	} else {
 		log.error("You are not an admin user");
	 }
	} catch (JwtException e) {
		throw new InvalidTokenException(e);
	}

第十二行抛出错误异常。parseClaimsJwt方法是解析没有进行签名的token，token进行签名再调用该方法就会报错。

暴力破解密钥(jwt-8)

如果签名算法，加密后的载荷和最终得到的加密字符串都已知，且密钥不够复杂的话，使用暴力破解便有可能将密钥解出。

本关给了token，根据token得到密钥，再自己做一个账户名为webgoat的token再重新加密后提交

token：eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJXZWJHb2F0IFRva2VuIEJ1aWxkZXIiLCJhdWQiOiJ3ZWJnb2F0L9yZyIsImlhdCI6MTY1MDUyMTY0MSwiZXhwIjoxNjUwNTIxNzAxLCJzdWIiOiJ0b21Ad2ViZ29hdC5vcmciLCJ1c2VybmFtZSI6IlRvbSIsIkVtYWlsIjoidG9tQHdlYmdvYXQub3JnIiwiU9sZSI6WyJNYW5hZ2VyIiwiUHJvamVjdCBBZG1pbmlzdHJhdG9yIl19.QBM_gpY6JTu3j_JOSHN1ro4IpQ7G6MB73jxdwVUXUPI

给了header和payload，未知公钥

将原来token保存为jwt.txt,去网上下载常见的英文，使用hashcat爆破

hashcat -m 16500 jwt.txt  -a 3 -w 3 /home/l3ife/桌面/20k.txt --force

16500代表是破解JWT，jwt.txt代表原始的token -a 3以及-w 3代表暴力高速破解，后面是字典的位置，–force表示忽略错误。
破解出公钥为washington，由于token设置了时间戳，往后延迟几秒就可以

密钥泄露(jwt-10)

本关需要找之前的日志，找到一种方法去让tom花钱订购书，在日志中发现token

修改时间戳修改为今天，抓包利用。

其他利用

1.kid字段被控制
	kid字段可以被用户控制，如果kid字段存在薄弱点，那么就容易被攻击者利用，从而造成危害。比如：目录遍历，SQL注入攻击
2.信息泄露
	JWT用来访问控制，里面的内容包含用户登录信息。

CTF例题

T-star挑战赛第一题

注册就是个显摆，通过jwt发现头部存在加密的base64，得到验证码进入后台。

ImgWeb

查看session好像为jwt的格式，将得到的密钥加进去，通过刷新网页，得到管理员权限。

[PASECA2019]honey_shop

通过任意文件下载，找到密钥。

番外

自己搭的图床竟然显示不了图片，还是先用TG先吧。
测试（Lsky）

格式，将得到的密钥加进去，通过刷新网页，得到管理员权限。

[PASECA2019]honey_shop

通过任意文件下载，找到密钥。

番外

自己搭的图床竟然显示不了图片，还是先用TG先吧。
测试（Lsky）
[外链图片转存中…(img-1bo2L21x-1692093041285)]

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。

阶段三：顶级网络安全工程师

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资料分享

当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。

教IT的小强

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
我在WebGoat学习JWT

jwt在网络应用环境间传递声明而执行的一种基于JSON的开放标准，jwt用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。
复制链接

扫一扫