JWTXposer

बग बाउंटी हंटर्स और रेड टीमर्स के लिए स्वचालित JWT डिस्कवरी और विश्लेषण उपकरण

JWTXposer क्या है?

JWTXposer एक स्वचालित टोही उपकरण है जो Wayback Machine जैसे सार्वजनिक अभिलेखागारों को स्कैन करता है, लीक हुए JWT टोकन निकालता है, और संभावित रूप से शोषण योग्य जानकारी की पहचान करने के लिए उन्हें डिकोड करता है।

विशेष रूप से बग बाउंटी हंटर्स, रेड टीमर्स, और CTF प्लेयर्स के लिए बनाया गया, JWTXposer मैन्युअल JWT खोज को समाप्त करता है और userId, access_token, scope, authType आदि जैसे महत्वपूर्ण क्लेम को उजागर करता है। यह स्वचालित निष्क्रिय टोही, लाइव एंडपॉइंट विश्लेषण, और JWT डिकोडिंग करता है ताकि महत्वपूर्ण टोकन निकाल सके जो निम्नलिखित का कारण बन सकते हैं:

• 🔓 टूटा हुआ एक्सेस कंट्रोल
• 🔐 विशेषाधिकार वृद्धि
• 🕵️‍♂️ टोकन रीप्ले हमले
• 🧬 कमजोर हस्ताक्षर कुंजी खोज

🔍 JWTXposer क्यों मौजूद है

कई एप्लिकेशन JWT को उजागर करते हैं:

• पुराने, संग्रहीत एंडपॉइंट्स में (जैसे Wayback Machine के माध्यम से)
• क्वेरी पैरामीटर या API पथों के अंदर
• URL, JS फ़ाइलों या रीडायरेक्ट में एम्बेडेड

ये टोकन अभी भी हो सकते हैं:

• रीप्ले के लिए मान्य
• संवेदनशील क्लेम (जैसे भूमिकाएं, उपयोगकर्ता आईडी, एक्सेस टोकन) शामिल कर सकते हैं
• अनुचित तरीके से मान्य किए जा सकते हैं (alg: none, समाप्त टोकन स्वीकार)

विशेषताएं

• संग्रहीत एंडपॉइंट्स के लिए Wayback Machine को स्क्रैप करता है
• URL, क्वेरी स्ट्रिंग और पथ पैरामीटर से JWT निकालता है
• स्वचालित रूप से** JWT डिकोड करता है (कोई गुप्त कुंजी आवश्यक नहीं)
• संवेदनशील JWT क्लेम** (userId, scope, authType आदि) को उजागर करता है
• लाइव एंडपॉइंट्स की जाँच करता है जो अभी भी सुलभ हैं
• गति के लिए multi-threading का उपयोग करता है (कॉन्फ़िगरेबल!)
• परिणामों को संरचित JSON आउटपुट में सहेजता है
• rich का उपयोग करके रंगीन सारांश तालिका आउटपुट करता है

डेमो

JWTXposer को क्रियाशील देखें:

स्थापना

रिपॉजिटरी क्लोन करें

git clone https://github.com/yourusername/JWTXposer.git
cd JWTXposer

आवश्यकताएं स्थापित करें

pip install -r requirements.txt

आउटपुट

परिणाम इसमें सहेजे जाते हैं:

jwt_results.json

आगामी विशेषताएं

• टोकन रीप्ले परीक्षण (स्वचालित)
• Burp Suite प्लगइन मोड
• GitHub / Google डॉर्किंग मॉड्यूल
• JWT फ़ज़िंग (भूमिका, alg, scope)
• टोकन पर विसंगति का पता लगाना (ML-आधारित)