jwt-hack

Kit di strumenti per l'hacking dei JSON Web Token

Un kit di strumenti ad alte prestazioni per testare, analizzare e attaccare i JSON Web Token.

Installazione

Cargo

cargo install jwt-hack

Homebrew

brew install jwt-hack

Snapcraft (Ubuntu)

sudo snap install jwt-hack

Dal sorgente

git clone https://github.com/hahwul/jwt-hack
cd jwt-hack
cargo install --path .

Immagini Docker

GHCR

docker pull ghcr.io/hahwul/jwt-hack:latest

Docker Hub

docker pull hahwul/jwt-hack:v2.6.0

Funzionalità

Utilizzo di base

Decodificare un JWT

Puoi decodificare sia JWT normali che compressi con DEFLATE. Lo strumento rileva e decomprime automaticamente i token compressi.

jwt-hack decode eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.CHANGED
jwt-hack decode COMPRESSED_JWT_TOKEN

Decodificare un JWE

Decodifica i token JWE (JSON Web Encryption) per analizzarne la struttura. Lo strumento rileva automaticamente il formato JWE (5 parti) e mostra i dettagli di crittografia.

# Decodifica la struttura del token JWE
jwt-hack decode eyJhbGciOiJkaXIiLCJlbmMiOiJBMjU2R0NNIn0..ZHVtbXlfaXZfMTIzNDU2.eyJ0ZXN0IjoiandlIn0.ZHVtbXlfdGFn

# Mostra header JWE, chiave crittografata, IV, testo cifrato e tag di autenticazione

Codificare un JWT

jwt-hack encode '{"sub":"1234"}' --secret=your-secret

Codificare un JWT con compressione DEFLATE

Puoi usare l'opzione --compress per applicare la compressione DEFLATE al payload del JWT.

jwt-hack encode '{"sub":"1234"}' --secret=your-secret --compress

# Con chiave privata
ssh-keygen -t rsa -b 4096 -E SHA256 -m PEM -P "" -f RS256.key
jwt-hack encode '{"a":"z"}' --private-key RS256.key --algorithm=RS256

Codificare un JWE

Crea token JWE (JSON Web Encryption) per testare scenari JWT crittografati.

# Codifica JWE di base
jwt-hack encode '{"sub":"1234", "data":"encrypted"}' --jwe --secret=your-secret

# I token JWE sono crittografati e possono essere decrittografati solo con la chiave corretta
jwt-hack encode '{"sensitive":"data"}' --jwe

Verificare un JWT

Controlla se la firma di un JWT è valida utilizzando il segreto o la chiave forniti.

# Con segreto (algoritmi HMAC come HS256, HS384, HS512)
jwt-hack verify YOUR_JWT_TOKEN_HERE --secret=your-256-bit-secret

# Con chiave privata (per algoritmi asimmetrici come RS256, ES256, EdDSA)
jwt-hack verify YOUR_JWT_TOKEN_HERE --private-key path/to/your/RS256_private.key

Craccare un JWT

Gli attacchi a dizionario e a forza bruta supportano anche JWT compressi con DEFLATE.

# Attacco a dizionario
jwt-hack crack -w wordlist.txt JWT_TOKEN
jwt-hack crack -w wordlist.txt COMPRESSED_JWT_TOKEN

# Attacco a forza bruta
jwt-hack crack -m brute JWT_TOKEN --max=4
jwt-hack crack -m brute COMPRESSED_JWT_TOKEN --max=4

Generare payload

jwt-hack payload JWT_TOKEN --jwk-attack evil.com --jwk-trust trusted.com

Scansione delle vulnerabilità

Scansiona automaticamente i token JWT per problemi di sicurezza e vulnerabilità comuni.

# Scansione completa inclusa rilevazione di segreti deboli e generazione di payload
jwt-hack scan JWT_TOKEN

# Salta il cracking dei segreti per risultati più rapidi
jwt-hack scan JWT_TOKEN --skip-crack

# Salta la generazione dei payload
jwt-hack scan JWT_TOKEN --skip-payloads

# Usa una wordlist personalizzata per la rilevazione di segreti deboli
jwt-hack scan JWT_TOKEN -w custom_wordlist.txt

# Limita i tentativi di test dei segreti
jwt-hack scan JWT_TOKEN --max-crack-attempts 50

Il comando di scansione controlla:

• Vulnerabilità algoritmo none: Rileva se il token accetta token non firmati
• Segreti deboli: Testa password comuni (personalizzabili con wordlist)
• Confusione di algoritmo: Identifica token vulnerabili ad attacchi RS256->HS256
• Problemi di scadenza del token: Controlla la presenza o la correttezza dei claim di scadenza
• Claim di sicurezza mancanti: Verifica la presenza dei claim JWT raccomandati
• Iniezione nell'header kid: Rileva potenziali vulnerabilità di iniezione SQL/path
• Attacchi agli header JKU/X5U: Identifica vettori di attacco tramite spoofing di URL

Server (API REST)

Avvia un'API REST locale per automazione e integrazioni. Per richiedere l'autenticazione, usa --api-key e includi X-API-KEY nelle richieste.

# Avvia su localhost:3000 con protezione tramite API key
jwt-hack server --api-key your-api-key

# Esempio di richiesta (deve includere X-API-KEY quando è impostato --api-key)
curl -s http://127.0.0.1:3000/health -H 'X-API-KEY: your-api-key'

Modalità Server MCP (Model Context Protocol)

jwt-hack può essere eseguito come server MCP, consentendo ai modelli AI di interagire con le funzionalità JWT tramite un protocollo standardizzato.

# Avvia il server MCP (comunica tramite stdio)
jwt-hack mcp

Il server MCP espone i seguenti strumenti:

Esempio di utilizzo MCP

Il server MCP è progettato per essere utilizzato da modelli AI e client MCP. Ogni strumento accetta parametri JSON e restituisce risposte strutturate.

Strumento Decode:

{
  "name": "decode",
  "arguments": {
    "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
  }
}

Strumento Encode:

{
  "name": "encode",
  "arguments": {
    "json": "{\"sub\":\"1234\",\"name\":\"test\"}",
    "secret": "mysecret",
    "algorithm": "HS256"
  }
}

Esempi di integrazione con client MCP

Puoi collegare il server MCP di jwt-hack a client MCP popolari. Assicurati che il binario jwt-hack sia sul tuo sistema e accessibile dal client.

VSCode

{
  "servers": {
    "jwt-hack": {
      "type": "stdio",
      "command": "jwt-hack",
      "args": [
        "mcp"
      ]
    }
  },
  "inputs": []
}

Claude Desktop

{
  "mcpServers": {
    "jwt-hack": {
      "command": "jwt-hack",
      "args": ["mcp"],
      "env": {}
    }
  }
}

Algoritmi supportati

Algoritmi di firma (JWS)

Algoritmi di crittografia (JWE)

Algoritmi di gestione delle chiavi (JWE)

Supporto compressione DEFLATE

Supporto compressione DEFLATE Il kit di strumenti jwt-hack supporta la compressione DEFLATE per i JWT.

• Usa l'opzione --compress con encode per generare JWT compressi.
• Le modalità decode e crack rilevano e gestiscono automaticamente i JWT compressi.

Contribuisci

Urx è un progetto open-source realizzato con ❤️ se vuoi contribuire a questo progetto, consulta CONTRIBUTING.md e invia una Pull-Request con i tuoi contenuti interessanti.