ClaimJumper

   _____ _       _            _                                
  / ____| |     (_)          | |                               
 | |    | | __ _ _ _ __ ___  | |_   _ _ __ ___  _ __   ___ _ __ 
 | |    | |/ _` | | '_ ` _ \ | | | | | '_ ` _ \| '_ \ / _ \ '__|
 |____| | (_| | | | | | | | || | |_| | | | | | | |_) |  __/ |   
  \_____|_|\__,_|_|_| |_| |_|/ |\__,_|_| |_| |_| .__/ \___|_|   
                           |__/               | |               
                                              |_|  v0.1.0

Профессиональный инструментарий для тестирования безопасности JWT. Анализируйте, взламывайте, подделывайте и эксплуатируйте JSON Web Tokens с более чем 15 проверками уязвимостей, словарём из 100 тыс. секретов и атаками на конкретные CVE.

Возможности

Основной анализ

• Декодирование JWT и сканирование уязвимостей
• Более 15 проверок безопасности (alg=none, слабые алгоритмы, отсутствующие утверждения, конфиденциальные данные)
• Оценка рисков с подробными рекомендациями

Продвинутые атаки

• Путаница алгоритмов (CVE-2022-39227)
• Внедрение в заголовок Kid (path traversal, SQLi)
• Внедрение JKU/X5U
• Обход нулевой подписи (CVE-2020-28042)
• Психическая подпись (CVE-2022-21449)
• Подмена JWKS

Взлом секрета

• Многопоточность (~19 тыс. секретов/сек)
• Встроенный словарь Wallarm на 100 тыс.+ слов
• Поддержка пользовательских словарей

Установка

pip install -e .

Быстрый старт

# Анализ токена
claimjumper analyze eyJhbGciOiJIUzI1NiIs...

# Генерация атакующих токенов
claimjumper advanced-attacks <token>

# Взлом секрета (8 потоков)
claimjumper crack <token> -t 8

# Полный аудит безопасности
claimjumper full-audit <token>

Команды

Команда	Описание
analyze	Анализ JWT на уязвимости
advanced-attacks	Генерация атакующих токенов на основе CVE
full-audit	Полная оценка безопасности
crack	Многопоточный подбор секрета
forge-none	Создание токена с alg=none
forge	Создание подписанного токена
decode	Декодирование и отображение токена
playbook	Автоматизированное сканирование безопасности
fuzz	Фаззинг утверждений JWT
keygen	Генерация ключей RSA/ECDSA

Веб-интерфейс

Откройте jwt_analyzer.html для минималистичного веб-интерфейса с возможностями:

• Анализ токена
• Генерация атак
• Подделка токенов

Проверки безопасности

Проверка	Серьёзность
alg=none	КРИТИЧНО
Путаница алгоритмов	КРИТИЧНО
Отсутствует exp	ВЫСОКО
Внедрение JKU/X5U	ВЫСОКО
Внедрение Kid	ВЫСОКО
Слабый алгоритм	СРЕДНЕ
Конфиденциальные данные	СРЕДНЕ

Коды завершения

• 0 — Анализ завершён / Секрет не найден
• 1 — Найдены уязвимости / Секрет взломан
• 2 — Ошибка

Лицензия

MIT

---

ClaimJumper — Только для авторизованного тестирования безопасности.