jwt-cracker

Craqueur par force brute simple pour tokens JWT HS256, HS384 et HS512.

Efficace uniquement pour casser les tokens JWT avec des secrets faibles. Recommandation : Utilisez des secrets longs et forts ou des tokens RS256.

Installation

Avec npm :

npm install --global jwt-cracker

Utilisation

Depuis la ligne de commande :

jwt-cracker -t <token> [-a <alphabet>] [--max <maxLength>] [-d <dictionaryFilePath>] [-f]

Où :

• token : la chaîne complète du token JWT HS256‑512 à casser
• alphabet : l'alphabet à utiliser pour la force brute (par défaut : "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789")
• maxLength : la longueur maximale de la chaîne générée lors de la force brute (par défaut : 12)
• dictionaryFilePath : chemin vers une liste de mots de passe (un par ligne) à utiliser au lieu de la force brute
• force : force l'exécution du script lorsque le token n'est pas valide

Prérequis

Ce script nécessite Node.js version 16.0.0 ou supérieure

Exemple

Casser l'exemple par défaut de jwt.io :

jwt-cracker -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ -a abcdefghijklmnopqrstuwxyz --max 6

Cela prend environ 2 heures sur un Macbook Pro (2,5 GHz quad-core Intel Core i7).

Ou en utilisant une liste de mots de passe provenant de https://github.com/danielmiessler/SecLists

jwt-cracker -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ -d darkweb2017-top10000.txt

Cela prend moins d'une seconde.

Contribution

Tout le monde est le bienvenu pour contribuer à ce projet. Vous pouvez contribuer simplement en soumettant des bugs ou en suggérant des améliorations en ouvrant une issue sur GitHub.

Licence

Sous licence MIT. © Luciano Mammino.