JWTweak

Introduzione

JWTweak è un toolkit guidato per il test di sicurezza JWT completamente offline. Rileva l'algoritmo di un token di input, lo analizza per configurazioni rischiose, raccomanda gli attacchi adatti e ti guida attraverso ciascuno — nessun flag da memorizzare.

Basta eseguirlo:

python3 JWTweak.py

Incolla un token e JWTweak lo decodifica, mostra un report dei rischi e presenta un menu intelligente con gli attacchi rilevanti evidenziati. Ogni attacco viene eseguito 100% offline — nulla viene mai inviato sulla rete.

⚠️ Solo per test di sicurezza autorizzati e ricerca.

Download

git clone https://github.com/rishuranjanofficial/JWTweak.git
cd JWTweak
pip install -r requirements.txt
python3 JWTweak.py

Punti salienti

• Zero flag. Eseguilo, incolla un token, segui il menu. Niente da cercare.
• Completamente offline. Nessun attacco effettua chiamate di rete. Gli artefatti jku/x5u vengono generati localmente e JWTweak può persino avviare un server web locale integrato per ospitarli senza alcun servizio esterno.
• Intelligente e guidato. Decodifica automaticamente, esegue un'analisi dei rischi e segna come raccomandati gli attacchi che hanno senso per il tuo token.
• TUI raffinata tramite rich — pannelli, JSON con evidenziazione sintattica, una tabella dei rischi e una barra di avanzamento live per il cracking. Ripiega automaticamente su un'interfaccia testuale pulita se rich non è installato.

Copertura degli attacchi

Requisiti

• Python 3.8+
• pip install -r requirements.txt

PyJWT e cryptography sono richiesti; rich è opzionale (consigliato) e influisce solo sulla presentazione.

Utilizzo

Normalmente non passi nulla:

python3 JWTweak.py

Per comodità puoi pre-caricare un token o un file, o forzare l'interfaccia testuale:

python3 JWTweak.py eyJhbG...              # avvia con un token
python3 JWTweak.py token.jwt              # avvia con un file
python3 JWTweak.py --no-rich --no-color   # interfaccia testuale

Per saperne di più

Una guida completa con proof-of-concept passo-passo (alg:none e confusione di algoritmo) contro un'app demo deliberatamente vulnerabile è disponibile qui: JWTweak: JWT Security Testing Toolkit

Autore

Rishu Ranjan