ClaimJumper

   _____ _       _            _                                
  / ____| |     (_)          | |                               
 | |    | | __ _ _ _ __ ___  | |_   _ _ __ ___  _ __   ___ _ __ 
 | |    | |/ _` | | '_ ` _ \ | | | | | '_ ` _ \| '_ \ / _ \ '__|
 |____| | (_| | | | | | | | || | |_| | | | | | | |_) |  __/ |   
  \_____|_|\__,_|_|_| |_| |_|/ |\__,_|_| |_| |_| .__/ \___|_|   
                           |__/               | |               
                                              |_|  v0.1.0

Kit de test de sécurité JWT professionnel. Analysez, craquez, forgez et exploitez les JSON Web Tokens avec plus de 15 vérifications de vulnérabilités, une liste de 100 000 secrets et des attaques spécifiques aux CVE.

Fonctionnalités

Analyse principale

• Décodage JWT et analyse des vulnérabilités
• 15+ vérifications de sécurité (alg=none, algorithmes faibles, claims manquants, données sensibles)
• Score de risque avec corrections détaillées

Attaques avancées

• Confusion d'algorithme (CVE-2022-39227)
• Injection Kid (chemin, SQLi)
• Injection JKU/X5U
• Contournement de signature nulle (CVE-2020-28042)
• Signature psychique (CVE-2022-21449)
• Usurpation JWKS

Craquage de secret

• Multithreadé (~19k secrets/sec)
• Liste de 100k + mots de Wallarm incluse
• Support de listes personnalisées

Installation

pip install -e .

Démarrage rapide

# Analyze a token
claimjumper analyze eyJhbGciOiJIUzI1NiIs...

# Generate attack tokens
claimjumper advanced-attacks <token>

# Crack secret (8 threads)
claimjumper crack <token> -t 8

# Full security audit
claimjumper full-audit <token>

Commandes

Commande	Description
analyze	Analyser JWT pour des vulnérabilités
advanced-attacks	Générer des jetons d'attaque basés sur CVE
full-audit	Évaluation complète de la sécurité
crack	Brute-force multithreadé du secret
forge-none	Créer un token avec alg=none
forge	Créer un token signé
decode	Décoder et afficher le token
playbook	Scan de sécurité automatisé
fuzz	Fuzzing des claims JWT
keygen	Générer des clés RSA/ECDSA

Interface web

Ouvrez jwt_analyzer.html pour une interface web minimaliste avec :

• Analyse de token
• Génération d'attaques
• Forge de token

Vérifications de sécurité

Vérification	Sévérité
alg=none	CRITIQUE
Algorithm Confusion	CRITIQUE
Missing exp	ÉLEVÉE
JKU/X5U Injection	ÉLEVÉE
Kid Injection	ÉLEVÉE
Weak Algorithm	MOYENNE
Sensitive Data	MOYENNE

Codes de sortie

• 0 — Analyse terminée / Aucun secret trouvé
• 1 — Vulnérabilités trouvées / Secret craqué
• 2 — Erreur

Licence

MIT

---

ClaimJumper — Pour des tests de sécurité autorisés uniquement.