JWT安全分析

JWT全称 json web token 。是为了在应用环境间传递声明而执行的一种基于 JSON 的开放标准。 JWT 的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息, 以便于从资源服务器获取资源。

JWT由三部分构成:

头部:

头部分为两个字段,其中以个字段用来声明类型,字段值为jwt

第二个字段为声明签名的加密算法。

例如:

{"alg":"HS256","typ":"JWT"}

数据:

用来承载传输的数据内容,例如:

{ " name " : " baobao " , " sex " : " boy " }

签名:

这一部分为数据签名验证信息,用于保证数据的完整性和可信任性。

这三部分通过base64进行编码后使用"."进行衔接。

例如:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiYmFvYmFvIiwic2V4IjoiYm95IiwiaXNMb2dpbiI6dHJ1ZX0=.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

JWT的安全问题:

1. 信息泄露

由于JWT的数据段部分是采用的base64编码传输所以很容易被转换成明文数据,造成数据泄露的问题。

2. 签名算法可修改为 none

由于头部字段中的alg字段用来声明签名的加密算法,所以如果这里修改为none则表明无签名字段,可以直接删除末尾的签名内容任意修改数据段的值。

3. 签名未效验

有些服务端未对签名字段进行效验,所以可以尝试直接删除签名字段信息来查看数据验证是否成功。

4. 数据签名可爆破

JWT通过效验 jwt 签名信息来保证数据的安全性,所以如果爆破出签名的加密秘钥我们就可以任意修改 jwt 的数据。

附上一个爆破工具。

https://github.com/Ch1ngg/JWTPyCrack

5. 修改非对称加密算法为加密对称算法

JWT的签名加密算法有两种,对称加密算法和非对称加密算法。对称加密算法比如 HS256 ,加解密使用同一个密钥,保存在服务端。非对称加密算法比如RS256,后端加密使用私钥,前端解密使用公钥。

如果我们修改alg字段,将算法从 RS256 更改为 HS256 ,服务端会使用 RS256 的公钥作为 HS256 算法的密钥。于是我们就可以用 RS256 的公钥伪造数据。

相关推荐
湫ccc17 分钟前
《Python基础》之pip换国内镜像源
开发语言·python·pip
fhvyxyci17 分钟前
【C++之STL】摸清 string 的模拟实现(下)
开发语言·c++·string
hakesashou18 分钟前
Python中常用的函数介绍
java·网络·python
qq_4597300320 分钟前
C 语言面向对象
c语言·开发语言
菜鸟学Python29 分钟前
Python 数据分析核心库大全!
开发语言·python·数据挖掘·数据分析
C++忠实粉丝30 分钟前
计算机网络socket编程(4)_TCP socket API 详解
网络·数据结构·c++·网络协议·tcp/ip·计算机网络·算法
九州ip动态30 分钟前
做网络推广及游戏注册为什么要换IP
网络·tcp/ip·游戏
Estar.Lee34 分钟前
时间操作[取当前北京时间]免费API接口教程
android·网络·后端·网络协议·tcp/ip
蝶开三月36 分钟前
php:使用socket函数创建WebSocket服务
网络·websocket·网络协议·php·socket
一个小坑货36 分钟前
Cargo Rust 的包管理器
开发语言·后端·rust