JWT安全分析

JWT全称 json web token 。是为了在应用环境间传递声明而执行的一种基于 JSON 的开放标准。 JWT 的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息, 以便于从资源服务器获取资源。

JWT由三部分构成:

头部:

头部分为两个字段,其中以个字段用来声明类型,字段值为jwt

第二个字段为声明签名的加密算法。

例如:

{"alg":"HS256","typ":"JWT"}

数据:

用来承载传输的数据内容,例如:

{ " name " : " baobao " , " sex " : " boy " }

签名:

这一部分为数据签名验证信息,用于保证数据的完整性和可信任性。

这三部分通过base64进行编码后使用"."进行衔接。

例如:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiYmFvYmFvIiwic2V4IjoiYm95IiwiaXNMb2dpbiI6dHJ1ZX0=.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

JWT的安全问题:

1. 信息泄露

由于JWT的数据段部分是采用的base64编码传输所以很容易被转换成明文数据,造成数据泄露的问题。

2. 签名算法可修改为 none

由于头部字段中的alg字段用来声明签名的加密算法,所以如果这里修改为none则表明无签名字段,可以直接删除末尾的签名内容任意修改数据段的值。

3. 签名未效验

有些服务端未对签名字段进行效验,所以可以尝试直接删除签名字段信息来查看数据验证是否成功。

4. 数据签名可爆破

JWT通过效验 jwt 签名信息来保证数据的安全性,所以如果爆破出签名的加密秘钥我们就可以任意修改 jwt 的数据。

附上一个爆破工具。

https://github.com/Ch1ngg/JWTPyCrack

5. 修改非对称加密算法为加密对称算法

JWT的签名加密算法有两种,对称加密算法和非对称加密算法。对称加密算法比如 HS256 ,加解密使用同一个密钥,保存在服务端。非对称加密算法比如RS256,后端加密使用私钥,前端解密使用公钥。

如果我们修改alg字段,将算法从 RS256 更改为 HS256 ,服务端会使用 RS256 的公钥作为 HS256 算法的密钥。于是我们就可以用 RS256 的公钥伪造数据。

相关推荐
Suckerbin1 小时前
Basic Pentesting: 1靶场渗透
笔记·安全·web安全·网络安全
嘿嘿-g1 小时前
华为IP(9)
网络·华为
小苏兮1 小时前
【C++】类与对象(下)
开发语言·c++·学习
正在走向自律2 小时前
Ubuntu系统下Python连接国产KingbaseES数据库实现增删改查
开发语言·数据库·python·ubuntu·kingbasees·ksycopg2
草莓熊Lotso2 小时前
PyCharm 从入门到高效:安装教程 + 快捷键速查表
开发语言·ide·经验分享·笔记·其他
半桔2 小时前
【Linux手册】管道通信:从内核底层原理到使用方法
java·linux·服务器·网络·c++
序属秋秋秋2 小时前
《C++进阶之STL》【set/map 使用介绍】
开发语言·c++·笔记·leetcode·stl·set·map
澡点睡觉2 小时前
【golang长途旅行第38站】工厂模式
开发语言·后端·golang
Dxy12393102162 小时前
Dockerfile文件常用配置详解
开发语言·docker
MATLAB代码顾问2 小时前
MATLAB可以实现的各种智能算法
开发语言·matlab