jwt-cracker

Einfacher HS256-, HS384- und HS512-JWT-Token-Brute-Force-Cracker.

Wirksam nur zum Knacken von JWT-Tokens mit schwachen Geheimnissen. Empfehlung: Verwenden Sie starke lange Geheimnisse oder RS256-Tokens.

Installieren

Mit npm:

npm install --global jwt-cracker

Verwendung

Von der Kommandozeile:

jwt-cracker -t <token> [-a <alphabet>] [--max <maxLength>] [-d <dictionaryFilePath>] [-f]

Wobei:

• token: die vollständige HS256-512 JWT-Token-Zeichenkette, die geknackt werden soll
• alphabet: das Alphabet, das für die Brute-Force-Methode verwendet werden soll (Standard: "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789")
• maxLength: die maximale Länge der Zeichenkette, die während der Brute-Force-Methode generiert wird (Standard: 12)
• dictionaryFilePath: Pfad zu einer Liste von Passwörtern (eines pro Zeile), die anstelle der Brute-Force-Methode verwendet werden soll
• force: Führt das Skript auch aus, wenn das Token ungültig ist

Voraussetzungen

Dieses Skript erfordert Node.js Version 16.0.0 oder höher

Beispiel

Knacken des Standard-jwt.io-Beispiels:

jwt-cracker -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ -a abcdefghijklmnopqrstuwxyz --max 6

Es dauert etwa 2 Stunden auf einem Macbook Pro (2,5 GHz Quad-Core Intel Core i7).

Oder mit einer Liste von Passwörtern aus https://github.com/danielmiessler/SecLists

jwt-cracker -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ -d darkweb2017-top10000.txt

Es dauert weniger als eine Sekunde.

Mitwirken

Jeder ist herzlich eingeladen, zu diesem Projekt beizutragen. Sie können beitragen, indem Sie Fehler melden oder Verbesserungen vorschlagen, indem Sie ein Issue auf GitHub eröffnen.

Lizenz

Lizenziert unter der MIT-Lizenz. © Luciano Mammino.