jwt-cracker

أداة بسيطة لتكسير رموز JWT من نوع HS256 و HS384 و HS512 بالقوة الغاشمة.

فعالة فقط لتكسير رموز JWT ذات الأسرار الضعيفة. توصية: استخدم أسراراً طويلة وقوية أو رموز RS256.

التثبيت

باستخدام npm:

npm install --global jwt-cracker

الاستخدام

من سطر الأوامر:

jwt-cracker -t <token> [-a <alphabet>] [--max <maxLength>] [-d <dictionaryFilePath>] [-f]

حيث:

• token: سلسلة رمز JWT الكاملة من نوع HS256-512 المراد تكسيرها
• alphabet: الأبجدية المستخدمة في القوة الغاشمة (الافتراضي: "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789")
• maxLength: الحد الأقصى لطول السلسلة الناتجة أثناء القوة الغاشمة (الافتراضي: 12)
• dictionaryFilePath: مسار إلى قائمة كلمات المرور (كلمة واحدة لكل سطر) لاستخدامها بدلاً من القوة الغاشمة
• force: فرض تنفيذ السكريبت عندما يكون الرمز غير صالح

المتطلبات

يتطلب هذا السكريبت إصدار Node.js 16.0.0 أو أعلى

مثال

تكسير مثال jwt.io الافتراضي:

jwt-cracker -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ -a abcdefghijklmnopqrstuwxyz --max 6

يستغرق حوالي ساعتين على جهاز Macbook Pro (معالج Intel Core i7 رباعي النوى بسرعة 2.5 جيجاهرتز).

أو باستخدام قائمة كلمات مرور مأخوذة من https://github.com/danielmiessler/SecLists

jwt-cracker -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ -d darkweb2017-top10000.txt

يستغرق أقل من ثانية.

المساهمة

الجميع مرحب بهم للمساهمة في هذا المشروع. يمكنك المساهمة بمجرد تقديم تقارير عن الأخطاء أو اقتراح تحسينات من خلال فتح مشكلة على GitHub.

الترخيص

مرخص بموجب رخصة MIT. © Luciano Mammino.