JWT原理及常见攻击方式

在项目开发中，一般按照上图所示的流程进行认证，即用户成功登录后，服务器将用户浏览器返回到一个token，未来，用户浏览器将携带token然后向服务端发送请求，服务端验证token给用户看数据的合法性，否则，返回一些错误的信息。

传统token方式：

用户登录成功后，服务端生成一个随机token在服务器(数据库或缓存)中为用户保存一份token，以后用户来访时需要携带token，接收服务端token然后去数据库或缓存进行验证token是否加班，是否合法。

jwt方式：

用户成功登录后，服务端通过jwt生成一个随机token给用户(服务器不需要保留)token），以后用户来访时需要携带token，接收服务端token之后，通过jwt对token检查是否超时，是否合法。

jwt的生成token格式如下：由 . 由连接的三段字符串组成。

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c 

生成规则如下：

• 第一段HEADER固定包括算法和token类型，对此json进行base64url这就是加密token的第一段。

{ 
              "alg": "HS256",      "typ": "JWT"   } 

• 第二段PAYLOAD一些数据包含在这方面json进行base64url这就是加密token的第二段。

{ 
               "sub": "1234567890",       "name": "John Doe",       "iat": 1516239022        ...   } 

• 第三段SIGNATURE部分，前两段base密文通过.拼接，然后拼接HS256加密，然后对hs256密文进行base64url加密，最后得到token的第三段。

base64url(       HMACSHA256(              base64UrlEncode(header)   "."   base64UrlEncode(payload),              your-256-bit-secret (秘钥加盐)       ) ) 

最后，三段字符串通过 .拼接生成jwt的token。

注意：base64url加密是先做base64加密，然后再加密 - 替代 及 _ 替代 / 。

实现代码参考：https://pythonav.com/wiki/detail/6/67/

JWT支持使用空加密算法header中指定alg为None

在这种情况下，只要把signature设置为空(即不添加)signature任何字段)，提交给服务器token可通过服务器验证。例如，使用以下字段

{ 
             "alg" : "None",     "typ" : "jwt" }/span> { 
          "user" : "Admin" } 

生成的完整token为ew0KCSJhbGciIDogIk5vbmUiLA0KCSJ0eXAiIDogImp3dCINCn0.ew0KCSJ1c2VyIiA6ICJBZG1pbiINCn0

(header+’.’+payload，去掉了’.’+signature字段)

空加密算法的设计初衷是用于调试的，但是如果某天开发人员脑阔瓦特了，在生产环境中开启了空加密算法，缺少签名算法，jwt保证信息不被篡改的功能就失效了。攻击者只需要把alg字段设置为None，就可以在payload中构造身份信息，伪造用户身份。

JWT中最常用的两种算法为HMAC和RSA。

HMAC是密钥相关的哈希运算消息认证码（Hash-based Message Authentication Code）的缩写，它是一种对称加密算法，使用相同的密钥对传输信息进行加解密。

RSA则是一种非对称加密算法，使用私钥加密明文，公钥解密密文。

在HMAC和RSA算法中，都是使用私钥对signature字段进行签名，只有拿到了加密时使用的私钥，才有可能伪造token。

现在我们假设有这样一种情况，一个Web应用，在JWT传输过程中使用RSA算法，密钥pem对JWT token进行签名，公钥pub对签名进行验证。

{ 
        
    "alg" : "RS256",
    "typ" : "jwt"
}

通常情况下密钥pem是无法获取到的，但是公钥pub却可以很容易通过某些途径读取到，这时，将JWT的加密算法修改为HMAC，即

{ 
        
    "alg" : "HS256",
    "typ" : "jwt"
}

同时使用获取到的公钥pub作为算法的密钥，对token进行签名，发送到服务器端。

服务器端会将RSA的公钥（pub）视为当前算法（HMAC）的密钥，使用HS256算法对接收到的签名进行验证。

参考2018CUMTCTF-Final-Web Paterbin：https://skysec.top/2018/05/19/2018CUMTCTF-Final-Web/#Pastebin/

俗话说，有密码验证的地方，就有会爆破。

不过对 JWT 的密钥爆破需要在一定的前提下进行：

• 知悉JWT使用的加密算法
• 一段有效的、已签名的token
• 签名用的密钥不复杂（弱密钥）

所以其实JWT 密钥爆破的局限性很大。

相关工具：c-jwt-cracker

以下是几个使用示例

可以看到简单的字母数字组合都是可以爆破的，但是密钥位数稍微长一点或者更复杂一点的话，爆破时间就会需要很久。

kid是jwt header中的一个可选参数，全称是key ID，它用于指定加密算法的密钥

{ 
        
    "alg" : "HS256",
    "typ" : "jwt",
    "kid" : "/home/jwt/.ssh/pem"
}

因为该参数可以由用户输入，所以也可能造成一些安全问题。

kid参数用于读取密钥文件，但系统并不会知道用户想要读取的到底是不是密钥文件，所以，如果在没有对参数进行过滤的前提下，攻击者是可以读取到系统的任意文件的。

{ 
        
    "alg" : "HS256",
    "typ" : "jwt",
    "kid" : "/etc/passwd"
}

kid也可以从数据库中提取数据，这时候就有可能造成SQL注入攻击，通过构造SQL语句来获取数据或者是绕过signature的验证

{ 
        
    "alg" : "HS256",
    "typ" : "jwt",
    "kid" : "key11111111' || union select 'secretkey' -- "
}

对kid参数过滤不严也可能会出现命令注入问题，但是利用条件比较苛刻。如果服务器后端使用的是Ruby，在读取密钥文件时使用了open函数，通过构造参数就可能造成命令注入。

"/path/to/key_file|whoami"

对于其他的语言，例如php，如果代码中使用的是exec或者是system来读取密钥文件，那么同样也可以造成命令注入，当然这个可能性就比较小了。

JWT保证的是数据传输过程中的完整性而不是机密性。

由于payload是使用base64url编码的，所以相当于明文传输，如果在payload中携带了敏感信息（如存放密钥对的文件路径），单独对payload部分进行base64url解码，就可以读取到payload中携带的信息。

转载： https://www.cnblogs.com/vege/p/14468030.html