MyJWT

codebeat badge

Введение

Данный CLI предназначен для пентестеров, участников CTF или разработчиков.
Вы можете изменять свой JWT, подписывать, инжектировать и т.д.
Обратитесь к документации для получения дополнительной информации.
Если вы заметили проблемы или хотите улучшить функционал, отправьте issue. Я отвечу как можно скорее. Наслаждайтесь :)

Документация

Документация доступна по адресу http://myjwt.readthedocs.io

Содержание

• Features
• Installation
• Usage
• Examples
• Download
• Contribute
• ChangeLog

Features

• копировать новый JWT в буфер обмена
• пользовательский интерфейс (спасибо questionary)
• цветной вывод
• изменять JWT (заголовок/полезная нагрузка)
• Уязвимость None
• Путаница RSA/HMAC
• Подписать JWT с помощью ключа
• Подбор методом перебора ключа
• Взлом JWT с помощью регулярного выражения для подбора ключа
• Инъекция kid
• Обход JKU
• Обход X5U

Установка

Чтобы установить myjwt, просто используйте pip:

pip install myjwt

Чтобы запустить myjwt из образа Docker, выполните:

docker run -it docker.pkg.github.com/mbouamama/myjwt/myjwt:latest myjwt

# mount volume for wordlist
docker run -v $(pwd)/wordlist:/home/wordlist/  -it docker.pkg.github.com/mbouamama/myjwt/myjwt:latest myjwt
# On Windows
docker run -v %CD%/wordlist:/home/wordlist/  -it docker.pkg.github.com/mbouamama/myjwt/myjwt:latest myjwt

Чтобы установить myjwt из git:

git clone https://github.com/mBouamama/MyJWT.git
cd ./MyJWT
pip install -r requirements.txt
python MyJWT/myjwt_cli.py --help

Чтобы установить myjwt на BlackArch:

pacman -S myjwt

Использование

$ myjwt --help
Usage: myjwt [OPTIONS] JWT

  This cli is for pentesters, CTF players, or dev.
  You can modify your jwt, sign, inject ,etc...
  Full documentation is at http://myjwt.readthedocs.io.
  If you see problems or enhancement send an issue.I will respond as soon as possible.
  Enjoy :)
  All new jwt will be copy to the clipboard.

Options:
  --version                    Show the version and exit.
  --full-payload TEXT          New payload for your jwt.Json format Required.
  -h, --add-header TEXT        Add a new key, value to your jwt header, if key
                               is present old value will be replaced.Format:
                               key=value.

  -p, --add-payload TEXT       Add a new key, value to your jwt payload, if
                               key is present old value will be
                               replaced.Format: key=value.

  --sign TEXT                  Sign Your jwt with key given.
  --verify TEXT                verify your key.
  -none, --none-vulnerability  Check None Alg vulnerability.
  --hmac PATH                  Check RS/HMAC Alg vulnerability.
  --bruteforce PATH            Bruteforce to guess the secret used to sign the
                               token.

  -r, --crack TEXT             regex to iterate all string possibilities to
                               guess the secret used to sign the token.

  --kid TEXT                   Kid Injection sql
  --jku TEXT                   Jku Header to bypass authentication
  --x5u TEXT                   X5u Header to bypass authentication
  --crt TEXT                   For x5cHeader, force crt file
  --key TEXT                   For jku or x5c Header, force private key to
                               your key file

  --file TEXT                  For jku Header and x5u Header, force file name
  --print                      Print Decoded JWT
  -u, --url TEXT               Url to send your jwt.
  -m, --method TEXT            Method use for send request to url.(Default
                               GET).

  -d, --data TEXT              Data send to your url.Format: key=value. if
                               value = MY_JWT value will be replace by new
                               jwt.

  -c, --cookies TEXT           Cookies to send to your url.Format: key=value.
                               if value = MY_JWT value will be replace by new
                               jwt.

  --help                       Show this message and exit.

Изменение JWT

Опция	Тип	Пример	Описание
--ful-payload	JSON	{"user": "admin"}	Новая полезная нагрузка для вашего JWT.
-h, --add-header	key=value	user=admin	Добавить новый ключ, значение в заголовок JWT, если ключ присутствует, старое значение будет заменено.
-p, --add-payload	key=value	user=admin	Добавить новый ключ, значение в полезную нагрузку JWT, если ключ присутствует, старое значение будет заменено.

Проверка вашего JWT (HS alg)

Опция	Тип	Пример	Описание
--sign	text	mysecretkey	Подписать ваш JWT с помощью вашего ключа
--verify	text	mysecretkey	Проверить ваш ключ.

Эксплуатация