jwt-cracker

HS256、HS384、HS512 JWTトークンのブルートフォースクラッカー。

脆弱なシークレットを持つJWTトークンのみをクラックするのに効果的です。 推奨: 強力で長いシークレット、またはRS256トークンを使用してください。

インストール

npmを使用:

npm install --global jwt-cracker

使用方法

コマンドラインから:

jwt-cracker -t <token> [-a <alphabet>] [--max <maxLength>] [-d <dictionaryFilePath>] [-f]

ここで:

• token: クラックする完全なHS256-512 JWTトークン文字列
• alphabet: ブルートフォースに使用するアルファベット（デフォルト: "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"）
• maxLength: ブルートフォース中に生成する文字列の最大長（デフォルト: 12）
• dictionaryFilePath: ブルートフォースの代わりに使用するパスワードリスト（1行に1パスワード）のパス
• force: トークンが無効な場合でもスクリプトを強制実行

必要条件

このスクリプトにはNode.jsバージョン16.0.0以上が必要です

例

デフォルトの jwt.ioの例 をクラック:

jwt-cracker -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ -a abcdefghijklmnopqrstuwxyz --max 6

Macbook Pro（2.5GHzクアッドコアIntel Core i7）で約2時間かかります。

または、https://github.com/danielmiessler/SecLists から取得したパスワードリストを使用:

jwt-cracker -t eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ -d darkweb2017-top10000.txt

1秒もかかりません。

貢献

このプロジェクトへの貢献は誰でも大歓迎です。 バグの報告や改善提案は、 GitHubでイシューを開く ことで貢献できます。

ライセンス

MITライセンス の下で提供されています。© Luciano Mammino。