MyJWT

codebeat badge

Introduzione

Questa CLI è per penetration tester, giocatori di CTF o sviluppatori.
Puoi modificare il tuo JWT, firmare, iniettare, ecc...
Consulta la Documentazione per maggiori informazioni.
Se riscontri problemi o suggerimenti, apri una segnalazione. Risponderò il prima possibile. Buon divertimento :)

Documentazione

La documentazione è disponibile all'indirizzo http://myjwt.readthedocs.io

Indice

• Funzionalità
• Installazione
• Utilizzo
• Esempi
• Download
• Contribuisci
• Registro modifiche

Funzionalità

• copia il nuovo JWT negli appunti
• interfaccia utente (grazie a questionary)
• output a colori
• modifica JWT (header/payload)
• vulnerabilità None
• confusione RSA/HMAC
• firma un JWT con una chiave
• forza bruta per indovinare la chiave
• crack del JWT con regex per indovinare la chiave
• iniezione kid
• bypass Jku
• bypass X5u

Installazione

Per installare myjwt, usa semplicemente pip:

pip install myjwt

Per eseguire myjwt da un'immagine Docker, esegui:

docker run -it docker.pkg.github.com/mbouamama/myjwt/myjwt:latest myjwt

# monta il volume per la wordlist
docker run -v $(pwd)/wordlist:/home/wordlist/  -it docker.pkg.github.com/mbouamama/myjwt/myjwt:latest myjwt
# Su Windows
docker run -v %CD%/wordlist:/home/wordlist/  -it docker.pkg.github.com/mbouamama/myjwt/myjwt:latest myjwt

Per installare myjwt da git:

git clone https://github.com/mBouamama/MyJWT.git
cd ./MyJWT
pip install -r requirements.txt
python MyJWT/myjwt_cli.py --help

Per installare myjwt su BlackArch:

pacman -S myjwt

Utilizzo

$ myjwt --help
Usage: myjwt [OPTIONS] JWT

  This cli is for pentesters, CTF players, or dev.
  You can modify your jwt, sign, inject ,etc...
  Full documentation is at http://myjwt.readthedocs.io.
  If you see problems or enhancement send an issue.I will respond as soon as possible.
  Enjoy :)
  All new jwt will be copy to the clipboard.

Options:
  --version                    Show the version and exit.
  --full-payload TEXT          New payload for your jwt.Json format Required.
  -h, --add-header TEXT        Add a new key, value to your jwt header, if key
                               is present old value will be replaced.Format:
                               key=value.

  -p, --add-payload TEXT       Add a new key, value to your jwt payload, if
                               key is present old value will be
                               replaced.Format: key=value.

  --sign TEXT                  Sign Your jwt with key given.
  --verify TEXT                verify your key.
  -none, --none-vulnerability  Check None Alg vulnerability.
  --hmac PATH                  Check RS/HMAC Alg vulnerability.
  --bruteforce PATH            Bruteforce to guess the secret used to sign the
                               token.

  -r, --crack TEXT             regex to iterate all string possibilities to
                               guess the secret used to sign the token.

  --kid TEXT                   Kid Injection sql
  --jku TEXT                   Jku Header to bypass authentication
  --x5u TEXT                   X5u Header to bypass authentication
  --crt TEXT                   For x5cHeader, force crt file
  --key TEXT                   For jku or x5c Header, force private key to
                               your key file

  --file TEXT                  For jku Header and x5u Header, force file name
  --print                      Print Decoded JWT
  -u, --url TEXT               Url to send your jwt.
  -m, --method TEXT            Method use for send request to url.(Default
                               GET).

  -d, --data TEXT              Data send to your url.Format: key=value. if
                               value = MY_JWT value will be replace by new
                               jwt.

  -c, --cookies TEXT           Cookies to send to your url.Format: key=value.
                               if value = MY_JWT value will be replace by new
                               jwt.

  --help                       Show this message and exit.

Modifica JWT

Opzione	Tipo	Esempio	Descrizione
--ful-payload	JSON	{"user": "admin"}	Nuovo payload per il tuo JWT.
-h, --add-header	chiave=valore	user=admin	Aggiunge una nuova coppia chiave/valore all'header del JWT; se la chiave esiste, il vecchio valore viene sostituito.
-p, --add-payload	chiave=valore	user=admin	Aggiunge una nuova coppia chiave/valore al payload del JWT; se la chiave esiste, il vecchio valore viene sostituito.

Controlla il tuo JWT (algoritmo HS)

Opzione	Tipo	Esempio	Descrizione
--sign	testo	miaisicretkey	Firma il tuo JWT con la chiave fornita
--verify	testo	miaisicretkey	Verifica la tua chiave.

Exploit