JWTweak

はじめに

JWTweak は、ガイド付きで完全オフラインの JWT セキュリティテストツールキットです。入力されたトークンのアルゴリズムを検出し、リスクのある設定を分析し、適切な攻撃を推奨し、それぞれの手順を案内します — フラグを覚える必要はありません。

以下のように実行するだけです:

python3 JWTweak.py

トークンを貼り付けると、JWTweak がデコードし、リスクレポートを表示し、関連する攻撃がハイライトされたスマートメニューを提示します。すべての攻撃は 100% オフライン で動作し、ネットワークを経由して送信されることはありません。

⚠️ 許可されたセキュリティテストおよび研究目的に限ります。

ダウンロード

git clone https://github.com/rishuranjanofficial/JWTweak.git
cd JWTweak
pip install -r requirements.txt
python3 JWTweak.py

ハイライト

• フラグ不要。 実行し、トークンを貼り付け、メニューに従うだけ。調べるものはありません。
• 完全オフライン。 ネットワークコールを行う攻撃はありません。jku/x5u アーティファクトはローカルで生成され、JWTweak は 内蔵のローカル Web サーバー を起動して、外部サービスなしでホストすることもできます。
• スマートでガイド付き。 自動デコード、リスク分析を実行し、あなたのトークンに適した攻撃を 推奨 としてマークします。
• 洗練された TUI (rich 経由) — パネル、シンタックスハイライトされた JSON、リスクテーブル、ライブクラッキングプログレスバー。rich がインストールされていない場合は、自動的にクリーンなプレーンテキスト UI にフォールバックします。

攻撃カバレッジ

必要条件

• Python 3.8 以上
• pip install -r requirements.txt

PyJWT と cryptography が必要です。rich はオプション（推奨）で、表示のみに影響します。

使用方法

通常は何も渡さずに実行します：

python3 JWTweak.py

便利なように、トークンやファイルを事前に読み込んだり、プレーン UI を強制したりできます：

python3 JWTweak.py eyJhbG...              # トークンで開始
python3 JWTweak.py token.jwt              # ファイルで開始
python3 JWTweak.py --no-rich --no-color   # プレーンテキスト UI

詳細情報

故意に脆弱なデモアプリに対するステップバイステップの概念実証（alg:none およびアルゴリズム混乱）を含む完全なウォークスルーはこちら：JWTweak: JWT セキュリティテストツールキット

著者

Rishu Ranjan