JWTweak

Introdução

JWTweak é um kit de ferramentas de teste de segurança JWT guiado e totalmente offline. Ele detecta o algoritmo de um token de entrada, analisa configurações arriscadas, recomenda os ataques adequados e guia você por cada um — sem flags para memorizar.

Basta executar:

python3 JWTweak.py

Cole um token, e o JWTweak o decodifica, mostra um relatório de risco e apresenta um menu inteligente com os ataques relevantes destacados. Cada ataque é executado 100% offline — nada é enviado pela rede.

⚠️ Apenas para testes de segurança autorizados e pesquisa.

Download

git clone https://github.com/rishuranjanofficial/JWTweak.git
cd JWTweak
pip install -r requirements.txt
python3 JWTweak.py

Destaques

• Zero flags. Execute, cole um token, siga o menu. Nada para consultar.
• Totalmente offline. Nenhum ataque faz chamada de rede. Artefatos jku/x5u são gerados localmente, e o JWTweak pode até iniciar um servidor web local embutido para que você os hospede sem qualquer serviço externo.
• Inteligente e guiado. Decodifica automaticamente, faz uma análise de risco e marca os ataques que fazem sentido para seu token como recomendados.
• TUI refinada via rich — painéis, JSON com destaque de sintaxe, tabela de risco e barra de progresso de cracking ao vivo. Cai automaticamente para uma interface de texto simples e limpa se o rich não estiver instalado.

Cobertura de ataques

Requisitos

• Python 3.8+
• pip install -r requirements.txt

PyJWT e cryptography são necessários; rich é opcional (recomendado) e afeta apenas a apresentação.

Uso

Normalmente, você não passa nada:

python3 JWTweak.py

Para conveniência, você pode pré-carregar um token ou arquivo, ou forçar a interface de texto simples:

python3 JWTweak.py eyJhbG...              # iniciar com um token
python3 JWTweak.py token.jwt              # iniciar com um arquivo
python3 JWTweak.py --no-rich --no-color   # interface de texto simples

Leia mais

Um tutorial completo com provas de conceito passo a passo (alg:none e confusão de algoritmo) contra um aplicativo de demonstração deliberadamente vulnerável está disponível aqui: JWTweak: JWT Security Testing Toolkit

Autor

Rishu Ranjan