jwt-hack

Boîte à outils de piratage de JSON Web Token

Une boîte à outils haute performance pour tester, analyser et attaquer les JSON Web Tokens.

Installation

Cargo

cargo install jwt-hack

Homebrew

brew install jwt-hack

Snapcraft (Ubuntu)

sudo snap install jwt-hack

Depuis les sources

git clone https://github.com/hahwul/jwt-hack
cd jwt-hack
cargo install --path .

Images Docker

GHCR

docker pull ghcr.io/hahwul/jwt-hack:latest

Docker Hub

docker pull hahwul/jwt-hack:v2.6.0

Fonctionnalités

Utilisation de base

Décoder un JWT

Vous pouvez décoder les JWT classiques et compressés avec DEFLATE. L'outil détecte et décompresse automatiquement les jetons compressés.

jwt-hack decode eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.CHANGED
jwt-hack decode COMPRESSED_JWT_TOKEN

Décoder un JWE

Décodez les jetons JWE (JSON Web Encryption) pour analyser leur structure. L'outil détecte automatiquement le format JWE (5 parties) et affiche les détails du chiffrement.

# Décoder la structure d'un jeton JWE
jwt-hack decode eyJhbGciOiJkaXIiLCJlbmMiOiJBMjU2R0NNIn0..ZHVtbXlfaXZfMTIzNDU2.eyJ0ZXN0IjoiandlIn0.ZHVtbXlfdGFn

# Affiche l'en-tête JWE, la clé chiffrée, l'IV, le texte chiffré et le tag d'authentification

Encoder un JWT

jwt-hack encode '{"sub":"1234"}' --secret=your-secret

Encoder un JWT avec compression DEFLATE

Vous pouvez utiliser l'option --compress pour appliquer la compression DEFLATE au payload du JWT.

jwt-hack encode '{"sub":"1234"}' --secret=your-secret --compress

# Avec une clé privée
ssh-keygen -t rsa -b 4096 -E SHA256 -m PEM -P "" -f RS256.key
jwt-hack encode '{"a":"z"}' --private-key RS256.key --algorithm=RS256

Encoder un JWE

Créez des jetons JWE (JSON Web Encryption) pour tester les scénarios JWT chiffrés.

# Encodage JWE de base
jwt-hack encode '{"sub":"1234", "data":"encrypted"}' --jwe --secret=your-secret

# Les jetons JWE sont chiffrés et ne peuvent être déchiffrés qu'avec la clé appropriée
jwt-hack encode '{"sensitive":"data"}' --jwe

Vérifier un JWT

Vérifie si la signature d'un JWT est valide à l'aide du secret ou de la clé fournis.

# Avec un secret (algorithmes HMAC comme HS256, HS384, HS512)
jwt-hack verify YOUR_JWT_TOKEN_HERE --secret=your-256-bit-secret

# Avec une clé privée (pour les algorithmes asymétriques comme RS256, ES256, EdDSA)
jwt-hack verify YOUR_JWT_TOKEN_HERE --private-key path/to/your/RS256_private.key

Craquer un JWT

Les attaques par dictionnaire et par force brute prennent également en charge les JWT compressés avec DEFLATE.

# Attaque par dictionnaire
jwt-hack crack -w wordlist.txt JWT_TOKEN
jwt-hack crack -w wordlist.txt COMPRESSED_JWT_TOKEN

# Attaque par force brute
jwt-hack crack -m brute JWT_TOKEN --max=4
jwt-hack crack -m brute COMPRESSED_JWT_TOKEN --max=4

Générer des payloads

jwt-hack payload JWT_TOKEN --jwk-attack evil.com --jwk-trust trusted.com

Scanner les vulnérabilités

Analysez automatiquement les jetons JWT pour détecter les problèmes de sécurité et les vulnérabilités courants.

# Analyse complète incluant la détection de secrets faibles et la génération de payloads
jwt-hack scan JWT_TOKEN

# Ignorer le craquage de secret pour des résultats plus rapides
jwt-hack scan JWT_TOKEN --skip-crack

# Ignorer la génération de payloads
jwt-hack scan JWT_TOKEN --skip-payloads

# Utiliser une liste de mots personnalisée pour la détection de secrets faibles
jwt-hack scan JWT_TOKEN -w custom_wordlist.txt

# Limiter les tentatives de test de secret
jwt-hack scan JWT_TOKEN --max-crack-attempts 50

La commande scan vérifie :

• Vulnérabilité d'algorithme none : Détecte si le jeton accepte les jetons non signés
• Secrets faibles : Teste les mots de passe courants (personnalisables avec une liste de mots)
• Confusion d'algorithme : Identifie les jetons vulnérables aux attaques RS256->HS256
• Problèmes d'expiration du jeton : Vérifie l'absence ou l'expiration incorrecte des claims
• Claims de sécurité manquants : Vérifie la présence des claims JWT recommandés
• Injection dans l'en-tête kid : Détecte les vulnérabilités potentielles d'injection SQL/chemin
• Attaques sur les en-têtes JKU/X5U : Identifie les vecteurs d'attaque par usurpation d'URL

Serveur (API REST)

Démarrez une API REST locale pour l'automatisation et les intégrations. Pour exiger une authentification, utilisez --api-key et incluez X-API-KEY dans les requêtes.

# Démarrer sur localhost:3000 avec protection par clé API
jwt-hack server --api-key your-api-key

# Exemple de requête (doit inclure X-API-KEY lorsque --api-key est défini)
curl -s http://127.0.0.1:3000/health -H 'X-API-KEY: your-api-key'

Mode serveur MCP (Model Context Protocol)

jwt-hack peut fonctionner comme un serveur MCP, permettant aux modèles IA d'interagir avec les fonctionnalités JWT via un protocole standardisé.

# Démarrer le serveur MCP (communique via stdio)
jwt-hack mcp

Le serveur MCP expose les outils suivants :

Exemple d'utilisation MCP

Le serveur MCP est conçu pour être utilisé par les modèles IA et les clients MCP. Chaque outil accepte des paramètres JSON et renvoie des réponses structurées.

Outil Decode :

{
  "name": "decode",
  "arguments": {
    "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
  }
}

Outil Encode :

{
  "name": "encode",
  "arguments": {
    "json": "{\"sub\":\"1234\",\"name\":\"test\"}",
    "secret": "mysecret",
    "algorithm": "HS256"
  }
}

Exemples d'intégration de clients MCP

Vous pouvez connecter le serveur MCP de jwt-hack à des clients MCP populaires. Assurez-vous que le binaire jwt-hack est sur votre système et accessible par le client.

VSCode

{
  "servers": {
    "jwt-hack": {
      "type": "stdio",
      "command": "jwt-hack",
      "args": [
        "mcp"
      ]
    }
  },
  "inputs": []
}

Claude Desktop

{
  "mcpServers": {
    "jwt-hack": {
      "command": "jwt-hack",
      "args": ["mcp"],
      "env": {}
    }
  }
}

Algorithmes pris en charge

Algorithmes de signature (JWS)

Algorithmes de chiffrement (JWE)

Algorithmes de gestion des clés (JWE)

Prise en charge de la compression DEFLATE

Prise en charge de la compression DEFLATE La boîte à outils jwt-hack prend en charge la compression DEFLATE pour les JWT.

• Utilisez l'option --compress avec encode pour générer des JWT compressés.
• Les modes decode et crack détectent et gèrent automatiquement les JWT compressés.

Contribuer

Urx est un projet open-source réalisé avec ❤️ Si vous souhaitez contribuer à ce projet, veuillez consulter CONTRIBUTING.md et soumettre une Pull-Request avec vos contenus sympas.