JWT Vulnerabilities (Json Web Tokens)
Вивчайте та практикуйте Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-e70bceed6fa35760d025f037a78106ab025a68cd%252Fimage%2520%281%29%2520%281%29%2520%281%29%2520%281%29%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f6feffc3&sv=1)
Якщо ви зацікавлені в кар'єрі в хакерстві та хочете зламати незламне - ми наймаємо! (вимагається вільне володіння польською мовою в письмовій та усній формі).
Частина цього посту базується на чудовому пості: https://github.com/ticarpi/jwt_tool/wiki/Attack-Methodology Автор чудового інструменту для тестування JWT https://github.com/ticarpi/jwt_tool
Швидкі перемоги
Запустіть jwt_tool в режимі All Tests!
і чекайте на зелені рядки.
Якщо вам пощастить, інструмент знайде випадок, коли веб-додаток неправильно перевіряє JWT:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-b952432413bf245cd33c09d7a62cc8b915397886%252Fimage%2520%28935%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=2a27db8f&sv=1)
Тоді ви можете знайти запит у вашому проксі або вивантажити використаний JWT для цього запиту за допомогою jwt_ tool:
Ви також можете використовувати Burp Extension SignSaboteur для запуску атак JWT з Burp.
Змінюйте дані, не модифікуючи нічого
Ви можете просто змінити дані, залишаючи підпис без змін, і перевірити, чи сервер перевіряє підпис. Спробуйте змінити своє ім'я користувача на "admin", наприклад.
Чи перевіряється токен?
Щоб перевірити, чи підпис JWT перевіряється:
Повідомлення про помилку вказує на те, що триває перевірка; чутливі деталі у детальних помилках слід переглянути.
Зміна на повернутій сторінці також вказує на перевірку.
Відсутність змін вказує на відсутність перевірки; це момент для експериментів із зміною навантаження.
Походження
Важливо визначити, чи токен був згенерований на стороні сервера чи клієнта, перевіривши історію запитів проксі.
Токени, вперше побачені з боку клієнта, вказують на те, що ключ може бути відкритий для коду на стороні клієнта, що потребує подальшого розслідування.
Токени, що походять з боку сервера, вказують на безпечний процес.
Тривалість
Перевірте, чи токен діє більше 24 годин... можливо, він ніколи не закінчується. Якщо є поле "exp", перевірте, чи сервер правильно його обробляє.
Брутфорс HMAC секрету
Змінити алгоритм на None
Встановіть використовуваний алгоритм як "None" і видаліть частину підпису.
Використовуйте розширення Burp під назвою "JSON Web Token", щоб спробувати цю вразливість і змінити різні значення всередині JWT (надішліть запит до Repeater, і на вкладці "JSON Web Token" ви можете змінити значення токена. Ви також можете вибрати, щоб встановити значення поля "Alg" на "None").
Змінити алгоритм RS256(асиметричний) на HS256(симетричний) (CVE-2016-5431/CVE-2016-10555)
Алгоритм HS256 використовує секретний ключ для підпису та перевірки кожного повідомлення. Алгоритм RS256 використовує приватний ключ для підпису повідомлення та використовує публічний ключ для аутентифікації.
Якщо ви зміните алгоритм з RS256 на HS256, код на бекенді використовує публічний ключ як секретний ключ, а потім використовує алгоритм HS256 для перевірки підпису.
Тоді, використовуючи публічний ключ і змінюючи RS256 на HS256, ми могли б створити дійсний підпис. Ви можете отримати сертифікат веб-сервера, виконавши це:
Новий публічний ключ у заголовку
Зловмисник вбудовує новий ключ у заголовок токена, і сервер використовує цей новий ключ для перевірки підпису (CVE-2018-0114).
Це можна зробити за допомогою розширення "JSON Web Tokens" для Burp. (Відправте запит до Repeater, у вкладці JSON Web Token виберіть "CVE-2018-0114" і надішліть запит).
JWKS Спуфінг
Інструкції детально описують метод оцінки безпеки JWT токенів, зокрема тих, що використовують заяву заголовка "jku". Ця заява повинна посилатися на файл JWKS (JSON Web Key Set), який містить публічний ключ, необхідний для перевірки токена.
Оцінка токенів з заголовком "jku":
Перевірте URL заяви "jku", щоб переконатися, що він веде до відповідного файлу JWKS.
Змініть значення "jku" токена, щоб направити його на контрольовану веб-службу, що дозволяє спостерігати за трафіком.
Моніторинг HTTP-взаємодії:
Спостереження за HTTP-запитами до вашого вказаного URL вказує на спроби сервера отримати ключі з наданого вами посилання.
При використанні
jwt_tool
для цього процесу важливо оновити файлjwtconf.ini
з вашим особистим розташуванням JWKS для полегшення тестування.Команда для
jwt_tool
:Виконайте наступну команду, щоб змоделювати сценарій з
jwt_tool
:
Огляд проблем з Kid
Додаткова заява заголовка, відома як kid
, використовується для ідентифікації конкретного ключа, що стає особливо важливим у середовищах, де існує кілька ключів для перевірки підпису токена. Ця заява допомагає вибрати відповідний ключ для перевірки підпису токена.
Виявлення ключа через "kid"
Коли заява kid
присутня в заголовку, рекомендується шукати у веб-директорії відповідний файл або його варіації. Наприклад, якщо вказано "kid":"key/12345"
, слід шукати файли /key/12345 та /key/12345.pem у кореневій директорії веб-сайту.
Перехід по шляху з "kid"
Заява kid
також може бути використана для навігації по файловій системі, що потенційно дозволяє вибір довільного файлу. Можливо протестувати на наявність з'єднання або виконати атаки Server-Side Request Forgery (SSRF), змінивши значення kid
, щоб націлитися на конкретні файли або служби. Зміна JWT для зміни значення kid
, зберігаючи оригінальний підпис, може бути досягнута за допомогою прапора -T
у jwt_tool, як показано нижче:
By targeting files with predictable content, it's possible to forge a valid JWT. For instance, the /proc/sys/kernel/randomize_va_space
file in Linux systems, known to contain the value 2, can be used in the kid
parameter with 2 as the symmetric password for JWT generation.
SQL Injection via "kid"
If the kid
claim's content is employed to fetch a password from a database, an SQL injection could be facilitated by modifying the kid
payload. An example payload that uses SQL injection to alter the JWT signing process includes:
non-existent-index' UNION SELECT 'ATTACKER';-- -
This alteration forces the use of a known secret key, ATTACKER
, for JWT signing.
OS Injection through "kid"
A scenario where the kid
parameter specifies a file path used within a command execution context could lead to Remote Code Execution (RCE) vulnerabilities. By injecting commands into the kid
parameter, it's possible to expose private keys. An example payload for achieving RCE and key exposure is:
/root/res/keys/secret7.key; cd /root/res/keys/ && python -m SimpleHTTPServer 1337&
x5u and jku
jku
jku stands for JWK Set URL. If the token uses a “jku” Header claim then перевірте надане URL. This should point to a URL containing the JWKS file that holds the Public Key for verifying the token. Tamper the token to point the jku value to a web service you can monitor traffic for.
First you need to create a new certificate with new private & public keys
Тоді ви можете використовувати, наприклад, jwt.io, щоб створити новий JWT з створеними публічними та приватними ключами та вказати параметр jku на створений сертифікат. Щоб створити дійсний сертифікат jku, ви можете завантажити оригінальний і змінити необхідні параметри.
Ви можете отримати параметри "e" та "n" з публічного сертифіката, використовуючи:
x5u
X.509 URL. URI, що вказує на набір публічних сертифікатів X.509 (стандарт формату сертифіката), закодованих у формі PEM. Перший сертифікат у наборі повинен бути тим, що використовується для підписання цього JWT. Наступні сертифікати кожен підписує попередній, таким чином завершуючи ланцюг сертифікатів. X.509 визначено в RFC 52807. Для передачі сертифікатів потрібна транспортна безпека.
Спробуйте змінити цей заголовок на URL під вашим контролем і перевірте, чи буде отримано будь-який запит. У такому випадку ви можете підробити JWT.
Щоб підробити новий токен, використовуючи сертифікат, контрольований вами, вам потрібно створити сертифікат і витягти публічні та приватні ключі:
Тоді ви можете використовувати, наприклад, jwt.io, щоб створити новий JWT з створеними відкритими та закритими ключами та вказати параметр x5u на сертифікат .crt, що був створений.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-8c39d83aad77047c0fdfe27e45f5857ee93c3a4e%252Fimage%2520%28956%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=e7e910a&sv=1)
Ви також можете зловживати обома цими вразливостями для SSRFs.
x5c
Цей параметр може містити сертифікат у base64:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-b78b164d61aa2a10df4a3254a1636c5723ff1656%252Fimage%2520%281119%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=527154c&sv=1)
Якщо зловмисник генерує самопідписаний сертифікат і створює підроблений токен, використовуючи відповідний закритий ключ, і замінює значення параметра "x5c" на новостворений сертифікат та модифікує інші параметри, а саме n, e та x5t, тоді, по суті, підроблений токен буде прийнятий сервером.
Вбудований відкритий ключ (CVE-2018-0114)
Якщо JWT має вбудований відкритий ключ, як у наступному сценарії:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-98adda241e94eb641ce2bd960e74f3b6a21ecf90%252Fimage%2520%28624%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=1f9177cc&sv=1)
Використовуючи наступний скрипт nodejs, можна згенерувати відкритий ключ з цих даних:
Можливо згенерувати новий приватний/публічний ключ, вбудувати новий публічний ключ всередину токена і використовувати його для генерації нового підпису:
Ви можете отримати "n" та "e", використовуючи цей скрипт nodejs:
Нарешті, використовуючи публічний та приватний ключі та нові значення "n" і "e", ви можете використовувати jwt.io, щоб підробити новий дійсний JWT з будь-якою інформацією.
ES256: Виявлення приватного ключа з однаковим nonce
Якщо деякі програми використовують ES256 і використовують однаковий nonce для генерації двох jwt, приватний ключ може бути відновлений.
Ось приклад: ECDSA: Виявлення приватного ключа, якщо використано однаковий nonce (з SECP256k1)
JTI (JWT ID)
Заява JTI (JWT ID) надає унікальний ідентифікатор для токена JWT. Його можна використовувати, щоб запобігти повторному використанню токена. Однак уявіть ситуацію, коли максимальна довжина ID становить 4 (0001-9999). Запити 0001 і 10001 будуть використовувати однаковий ID. Тому, якщо бекенд збільшує ID з кожним запитом, ви могли б зловживати цим, щоб повторити запит (потрібно надіслати 10000 запитів між кожним успішним повтором).
Зареєстровані заяви JWT
Інші атаки
Атаки перехресного реле
Було помічено, що деякі веб-додатки покладаються на надійний сервіс JWT для генерації та управління своїми токенами. Зафіксовано випадки, коли токен, згенерований для одного клієнта сервісом JWT, був прийнятий іншим клієнтом того ж сервісу JWT. Якщо спостерігається видача або поновлення JWT через сторонній сервіс, слід дослідити можливість реєстрації облікового запису на іншому клієнті цього сервісу, використовуючи те саме ім'я користувача/електронну пошту. Потім слід спробувати повторити отриманий токен у запиті до цілі, щоб перевірити, чи буде він прийнятий.
Критична проблема може бути вказана прийняттям вашого токена, що потенційно дозволяє підробити обліковий запис будь-якого користувача. Однак слід зазначити, що може знадобитися дозвіл на більш широке тестування, якщо реєстрація на сторонньому додатку, оскільки це може потрапити в юридичну сіру зону.
Перевірка терміну дії токенів
Термін дії токена перевіряється за допомогою заяви "exp" Payload. Оскільки JWT часто використовуються без інформації про сесію, потрібна обережна обробка. У багатьох випадках захоплення та повторне використання JWT іншого користувача може дозволити видавати себе за цього користувача. Рекомендації JWT RFC пропонують зменшити атаки повторного використання JWT, використовуючи заяву "exp" для встановлення часу закінчення дії токена. Крім того, реалізація відповідних перевірок додатком для забезпечення обробки цього значення та відхилення прострочених токенів є критично важливою. Якщо токен містить заяву "exp" і обмеження часу тестування дозволяють, рекомендується зберігати токен і повторно використовувати його після закінчення терміну дії. Вміст токена, включаючи парсинг мітки часу та перевірку терміну дії (мітка часу в UTC), можна прочитати за допомогою прапора -R інструмента jwt_tool.
Існує ризик безпеки, якщо додаток все ще перевіряє токен, оскільки це може означати, що токен ніколи не може закінчитися.
Інструменти
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F2585115637-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FhAv2kYoPrT3n8552GaQU%252Fuploads%252Fgit-blob-e70bceed6fa35760d025f037a78106ab025a68cd%252Fimage%2520%281%29%2520%281%29%2520%281%29%2520%281%29%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f6feffc3&sv=1)
Якщо ви зацікавлені в кар'єрі в хакерстві та в тому, щоб зламати незламне - ми наймаємо! (вимагається вільне володіння польською мовою в письмовій та усній формі).
Вчіться та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вчіться та практикуйте GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated