jwt-cracker

Simple cracker de fuerza bruta para tokens JWT HS256, HS384 y HS512.

Efectivo solo para vulnerar tokens JWT con secretos débiles. Recomendación: utiliza secretos largos y fuertes o tokens RS256.

Instalación

Con npm:

npm install --global jwt-cracker

Uso

Desde la línea de comandos:

jwt-cracker -t <token> [-a <alphabet>] [--max <maxLength>] [-d <dictionaryFilePath>] [-f]

Donde:

• token: la cadena completa del token JWT HS256-512 a vulnerar
• alphabet: el alfabeto a usar para la fuerza bruta (por defecto: "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789")
• maxLength: la longitud máxima de la cadena generada durante la fuerza bruta (por defecto: 12)
• dictionaryFilePath: ruta a una lista de contraseñas (una por línea) para usar en lugar de fuerza bruta
• force: fuerza la ejecución del script cuando el token no es válido

Requisitos

Este script requiere Node.js versión 16.0.0 o superior

Ejemplo

Vulnerando el ejemplo por defecto de jwt.io:

jwt-cracker -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ -a abcdefghijklmnopqrstuwxyz --max 6

Tarda aproximadamente 2 horas en un Macbook Pro (Intel Core i7 de 2,5 GHz de cuatro núcleos).

O usando una lista de contraseñas tomada de https://github.com/danielmiessler/SecLists

jwt-cracker -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ -d darkweb2017-top10000.txt

Tarda menos de un segundo.

Contribuciones

Todo el mundo es bienvenido a contribuir a este proyecto. Puedes contribuir simplemente reportando errores o sugiriendo mejoras abriendo un issue en GitHub.

Licencia

Licenciado bajo Licencia MIT. © Luciano Mammino.