MyJWT

codebeat badge

Introduction

Cet outil en ligne de commande est destiné aux pentesteurs, aux joueurs de CTF ou aux développeurs.
Vous pouvez modifier votre jwt, le signer, injecter, etc.
Consultez la Documentation pour plus d'informations.
Si vous rencontrez des problèmes ou avez des améliorations, ouvrez un ticket. Je répondrai dès que possible. Profitez-en :)

Documentation

La documentation est disponible à l'adresse http://myjwt.readthedocs.io

Table des matières

• Fonctionnalités
• Installation
• Utilisation
• Exemples
• Téléchargement
• Contribuer
• Journal des modifications

Fonctionnalités

• copie du nouveau jwt dans le presse-papiers
• interface utilisateur (merci questionary)
• sortie colorée
• modifier jwt (en-tête/charge utile)
• vulnérabilité None
• confusion RSA/HMAC
• signer un jwt avec une clé
• force brute pour deviner la clé
• casser jwt avec une expression régulière pour deviner la clé
• injection kid
• contournement Jku
• contournement X5u

Installation

Pour installer myjwt, utilisez simplement pip :

pip install myjwt

Pour exécuter myjwt à partir d'une image Docker, exécutez :

docker run -it docker.pkg.github.com/mbouamama/myjwt/myjwt:latest myjwt

# monter un volume pour la liste de mots
docker run -v $(pwd)/wordlist:/home/wordlist/  -it docker.pkg.github.com/mbouamama/myjwt/myjwt:latest myjwt
# Sur Windows
docker run -v %CD%/wordlist:/home/wordlist/  -it docker.pkg.github.com/mbouamama/myjwt/myjwt:latest myjwt

Pour installer myjwt à partir de git :

git clone https://github.com/mBouamama/MyJWT.git
cd ./MyJWT
pip install -r requirements.txt
python MyJWT/myjwt_cli.py --help

Pour installer myjwt sur BlackArch :

pacman -S myjwt

Utilisation

$ myjwt --help
Usage: myjwt [OPTIONS] JWT

  This cli is for pentesters, CTF players, or dev.
  You can modify your jwt, sign, inject ,etc...
  Full documentation is at http://myjwt.readthedocs.io.
  If you see problems or enhancement send an issue.I will respond as soon as possible.
  Enjoy :)
  All new jwt will be copy to the clipboard.

Options:
  --version                    Show the version and exit.
  --full-payload TEXT          New payload for your jwt.Json format Required.
  -h, --add-header TEXT        Add a new key, value to your jwt header, if key
                               is present old value will be replaced.Format:
                               key=value.

  -p, --add-payload TEXT       Add a new key, value to your jwt payload, if
                               key is present old value will be
                               replaced.Format: key=value.

  --sign TEXT                  Sign Your jwt with key given.
  --verify TEXT                verify your key.
  -none, --none-vulnerability  Check None Alg vulnerability.
  --hmac PATH                  Check RS/HMAC Alg vulnerability.
  --bruteforce PATH            Bruteforce to guess the secret used to sign the
                               token.

  -r, --crack TEXT             regex to iterate all string possibilities to
                               guess the secret used to sign the token.

  --kid TEXT                   Kid Injection sql
  --jku TEXT                   Jku Header to bypass authentication
  --x5u TEXT                   X5u Header to bypass authentication
  --crt TEXT                   For x5cHeader, force crt file
  --key TEXT                   For jku or x5c Header, force private key to
                               your key file

  --file TEXT                  For jku Header and x5u Header, force file name
  --print                      Print Decoded JWT
  -u, --url TEXT               Url to send your jwt.
  -m, --method TEXT            Method use for send request to url.(Default
                               GET).

  -d, --data TEXT              Data send to your url.Format: key=value. if
                               value = MY_JWT value will be replace by new
                               jwt.

  -c, --cookies TEXT           Cookies to send to your url.Format: key=value.
                               if value = MY_JWT value will be replace by new
                               jwt.

  --help                       Show this message and exit.

Modifier JWT

Option	Type	Exemple	Aide
--ful-payload	JSON	{"user": "admin"}	Nouvelle charge utile pour votre jwt.
-h, --add-header	clé=valeur	utilisateur=admin	Ajouter une nouvelle clé et sa valeur à l'en-tête de votre jwt. Si la clé existe, l'ancienne valeur sera remplacée.
-p, --add-payload	clé=valeur	utilisateur=admin	Ajouter une nouvelle clé et sa valeur à la charge utile de votre jwt. Si la clé existe, l'ancienne valeur sera remplacée.

Vérifier votre JWT (algorithme HS)

Option	Type	Exemple	Aide
--sign	texte	maclésecrète	Signer votre jwt avec votre clé
--verify	texte	maclésecrète	Vérifier votre clé.

Exploitation