JWTweak

Einleitung

JWTweak ist ein geführtes, vollständig offline arbeitendes Toolkit für JWT-Sicherheitstests. Es erkennt den Algorithmus eines eingegebenen Tokens, analysiert es auf riskante Konfigurationen, empfiehlt die passenden Angriffe und führt Sie durch jeden einzelnen – keine Flags zum Merken.

Einfach ausführen:

python3 JWTweak.py

Token einfügen, und JWTweak decodiert es, zeigt einen Risikobericht an und präsentiert ein intelligentes Menü mit den relevanten Angriffen hervorgehoben. Jeder Angriff läuft 100% offline – es wird niemals etwas über das Netzwerk gesendet.

⚠️ Nur für autorisierte Sicherheitstests und Forschung.

Download

git clone https://github.com/rishuranjanofficial/JWTweak.git
cd JWTweak
pip install -r requirements.txt
python3 JWTweak.py

Highlights

• Keine Flags. Ausführen, Token einfügen, Menü folgen. Nichts nachzuschlagen.
• Vollständig offline. Kein Angriff führt einen Netzwerkaufruf durch. jku/x5u-Artefakte werden lokal generiert, und JWTweak kann sogar einen integrierten lokalen Webserver starten, sodass Sie sie ohne externen Dienst hosten können.
• Intelligent & geführt. Automatisches Decodieren, Risikoanalyse und Markierung der Angriffe, die für Ihr Token sinnvoll sind, als empfohlen.
• Aufpolierte TUI via rich – Panels, syntaxhervorgehobenes JSON, eine Risikotabelle und ein Live-Knack-Fortschrittsbalken. Fällt automatisch auf eine saubere reine Text-UI zurück, wenn rich nicht installiert ist.

Angriffsabdeckung

Anforderungen

• Python 3.8+
• pip install -r requirements.txt

PyJWT und cryptography werden benötigt; rich ist optional (empfohlen) und beeinflusst nur die Darstellung.

Verwendung

Normalerweise übergibt man nichts:

python3 JWTweak.py

Der Einfachheit halber können Sie ein Token oder eine Datei vorladen oder die reine Text-UI erzwingen:

python3 JWTweak.py eyJhbG...              # mit einem Token starten
python3 JWTweak.py token.jwt              # mit einer Datei starten
python3 JWTweak.py --no-rich --no-color   # reine Text-UI

Weiterlesen

Eine vollständige Schritt-für-Schritt-Anleitung mit Proof-of-Concepts (alg:none und Algorithmusverwirrung) gegen eine absichtlich angreifbare Demo-App finden Sie hier: JWTweak: JWT Security Testing Toolkit

Autor

Rishu Ranjan