jwt-hack

Набор инструментов для взлома JSON Web Token

Высокопроизводительный инструментарий для тестирования, анализа и атак на JSON Web Token.

Установка

Cargo

cargo install jwt-hack

Homebrew

brew install jwt-hack

Snapcraft (Ubuntu)

sudo snap install jwt-hack

Из исходного кода

git clone https://github.com/hahwul/jwt-hack
cd jwt-hack
cargo install --path .

Docker-образы

GHCR

docker pull ghcr.io/hahwul/jwt-hack:latest

Docker Hub

docker pull hahwul/jwt-hack:v2.6.0

Возможности

Базовое использование

Декодирование JWT

Вы можете декодировать как обычные, так и сжатые с помощью DEFLATE JWT. Инструмент автоматически обнаружит и распакует сжатые токены.

jwt-hack decode eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0In0.CHANGED
jwt-hack decode COMPRESSED_JWT_TOKEN

Декодирование JWE

Декодируйте токены JWE (JSON Web Encryption) для анализа их структуры. Инструмент автоматически определяет формат JWE (5 частей) и отображает детали шифрования.

# Декодирование структуры JWE-токена
jwt-hack decode eyJhbGciOiJkaXIiLCJlbmMiOiJBMjU2R0NNIn0..ZHVtbXlfaXZfMTIzNDU2.eyJ0ZXN0IjoiandlIn0.ZHVtbXlfdGFn

# Показывает заголовок JWE, зашифрованный ключ, IV, шифротекст и тег аутентификации

Кодирование JWT

jwt-hack encode '{"sub":"1234"}' --secret=your-secret

Кодирование JWT с DEFLATE-сжатием

Вы можете использовать опцию --compress для применения DEFLATE-сжатия к payload JWT.

jwt-hack encode '{"sub":"1234"}' --secret=your-secret --compress

# С закрытым ключом
ssh-keygen -t rsa -b 4096 -E SHA256 -m PEM -P "" -f RS256.key
jwt-hack encode '{"a":"z"}' --private-key RS256.key --algorithm=RS256

Кодирование JWE

Создавайте токены JWE (JSON Web Encryption) для тестирования сценариев с зашифрованными JWT.

# Базовое кодирование JWE
jwt-hack encode '{"sub":"1234", "data":"encrypted"}' --jwe --secret=your-secret

# JWE-токены зашифрованы и могут быть расшифрованы только с помощью соответствующего ключа
jwt-hack encode '{"sensitive":"data"}' --jwe

Проверка JWT

Проверяет, действительна ли подпись JWT, с помощью предоставленного секрета или ключа.

# С секретом (HMAC-алгоритмы: HS256, HS384, HS512)
jwt-hack verify YOUR_JWT_TOKEN_HERE --secret=your-256-bit-secret

# С закрытым ключом (для асимметричных алгоритмов: RS256, ES256, EdDSA)
jwt-hack verify YOUR_JWT_TOKEN_HERE --private-key path/to/your/RS256_private.key

Взлом JWT

Атаки по словарю и полным перебором также поддерживают JWT, сжатые с помощью DEFLATE.

# Атака по словарю
jwt-hack crack -w wordlist.txt JWT_TOKEN
jwt-hack crack -w wordlist.txt COMPRESSED_JWT_TOKEN

# Атака полным перебором
jwt-hack crack -m brute JWT_TOKEN --max=4
jwt-hack crack -m brute COMPRESSED_JWT_TOKEN --max=4

Генерация payload

jwt-hack payload JWT_TOKEN --jwk-attack evil.com --jwk-trust trusted.com

Сканирование на уязвимости

Автоматическое сканирование JWT-токенов на распространённые проблемы безопасности и уязвимости.

# Полное сканирование, включая обнаружение слабых секретов и генерацию payload
jwt-hack scan JWT_TOKEN

# Пропустить взлом секрета для более быстрых результатов
jwt-hack scan JWT_TOKEN --skip-crack

# Пропустить генерацию payload
jwt-hack scan JWT_TOKEN --skip-payloads

# Использовать пользовательский словарь для обнаружения слабых секретов
jwt-hack scan JWT_TOKEN -w custom_wordlist.txt

# Ограничить количество попыток проверки секрета
jwt-hack scan JWT_TOKEN --max-crack-attempts 50

Команда сканирования проверяет:

• Уязвимость алгоритма none: Определяет, принимает ли токен неподписанные токены
• Слабые секреты: Проверяет распространённые пароли (настраивается с помощью словаря)
• Путаницу алгоритмов: Выявляет токены, уязвимые для атак RS256->HS256
• Проблемы с истечением срока токена: Проверяет отсутствие или некорректные claims об истечении
• Отсутствие claims безопасности: Проверяет наличие рекомендуемых claims JWT
• Инъекцию в заголовок kid: Обнаруживает потенциальные уязвимости SQL/path-инъекций
• Атаки через заголовки JKU/X5U: Выявляет векторы атак с подменой URL

Сервер (REST API)

Запустите локальный REST API для автоматизации и интеграций. Для требования аутентификации используйте --api-key и включайте X-API-KEY в запросы.

# Запуск на localhost:3000 с защитой через API-ключ
jwt-hack server --api-key your-api-key

# Пример запроса (обязательно включать X-API-KEY, если задан --api-key)
curl -s http://127.0.0.1:3000/health -H 'X-API-KEY: your-api-key'

Режим сервера MCP (Model Context Protocol)

jwt-hack может работать как MCP-сервер, позволяя ИИ-моделям взаимодействовать с функциональностью JWT через стандартизированный протокол.

# Запуск MCP-сервера (обмен данными через stdio)
jwt-hack mcp

MCP-сервер предоставляет следующие инструменты:

Пример использования MCP

MCP-сервер предназначен для использования ИИ-моделями и MCP-клиентами. Каждый инструмент принимает JSON-параметры и возвращает структурированные ответы.

Инструмент Decode:

{
  "name": "decode",
  "arguments": {
    "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."
  }
}

Инструмент Encode:

{
  "name": "encode",
  "arguments": {
    "json": "{\"sub\":\"1234\",\"name\":\"test\"}",
    "secret": "mysecret",
    "algorithm": "HS256"
  }
}

Примеры интеграции с MCP-клиентами

Вы можете подключить MCP-сервер jwt-hack к популярным MCP-совместимым клиентам. Убедитесь, что бинарный файл jwt-hack находится в вашей системе и доступен клиенту.

VSCode

{
  "servers": {
    "jwt-hack": {
      "type": "stdio",
      "command": "jwt-hack",
      "args": [
        "mcp"
      ]
    }
  },
  "inputs": []
}

Claude Desktop

{
  "mcpServers": {
    "jwt-hack": {
      "command": "jwt-hack",
      "args": ["mcp"],
      "env": {}
    }
  }
}

Поддерживаемые алгоритмы

Алгоритмы подписи (JWS)

Алгоритмы шифрования (JWE)

Алгоритмы управления ключами (JWE)

Поддержка DEFLATE-сжатия

Поддержка DEFLATE-сжатия Инструментарий jwt-hack поддерживает DEFLATE-сжатие для JWT.

• Используйте опцию --compress с encode для генерации сжатых JWT.
• Режимы decode и crack автоматически обнаруживают и обрабатывают сжатые JWT.

Вклад в проект

Urx — это проект с открытым исходным кодом, созданный с ❤️ Если вы хотите внести вклад в этот проект, пожалуйста, ознакомьтесь с CONTRIBUTING.md и отправьте Pull-Request с вашим классным контентом.