众测技巧JWT伪造

众测技巧JWT伪造：手把手教你拿下高危漏洞，这波操作我直呼内行！

兄弟们,姐妹们，今天咱们不聊虚的，直接上硬菜！我最近在挖众测的时候，碰到一个特别有意思的洞——JWT伪造，说真的，当时我盯着那个Token，心里就一个念头：“这玩意儿，不伪造一下，简直对不起它这‘裸奔’的加密算法啊！”（懂的都懂，嘿嘿）。

你是不是也经常在众测平台上,看到那些大佬提交的JWT伪造漏洞，积分哗啦啦地涨，心里痒痒的？别急，今天我把我的实战经验全盘托出，保证你看完也能去试试水。这篇众测技巧干货，主打一个“手把手”和“真性情”，咱们走起！

第一幕：啥是JWT？它凭啥能成为众测的“香饽饽”？

哎呀,先别嫌我啰嗦，基础不牢，地动山摇嘛！JWT，全称JSON Web Token，说白了就是一张“网络身份证”，服务器一验这玩意儿，就知道你是谁，有啥权限，为啥众测技巧里，JWT伪造能常年霸榜？因为很多开发小哥哥小姐姐，图省事儿，直接把密钥硬编码在代码里，或者干脆用了个弱到爆的密钥，比如secret、123456……你说说，这不就是给咱们送分吗？！

我记得有一次,我在测一个SRC项目，登录后抓包一看，JWT的Header里alg字段明晃晃写着none！我当时就乐了：“好家伙，这是怕我找不到突破口，直接把门焊死又给我留了把钥匙啊！”（笑死，根本难不倒我！）

第二幕：实操走起！三种最常见的JWT伪造姿势，拿小本本记好！

光说不练假把式,我直接把我压箱底的三种众测技巧拿出来，咱们边看边学，保证你听完想立刻打开Burp Suite试试手！

算法“狸猫换太子”（HS256转RS256）

这个可太经典了！有些系统用的是非对称加密RS256，公钥公开，私钥保密，但！有些开发脑回路清奇，后端验证时不校验算法类型，这时候，咱们就可以把Header里的RS256改成HS256（对称加密），然后用网站的公钥（对，就是公开的那个！）作为密钥去签名。

哇,当时我改完Payload，心跳都加快了，心里默念：“大哥，给个面子，让我过吧！”结果你猜怎么着？服务器居然认了！我直接通过伪造的Token，拿到了管理员权限，那一刻，成就感爆棚！这种众测技巧，真的是谁用谁知道，一用一个准！

爆破弱密钥，简单粗暴但有效

这招嘛,就很“莽”了，如果系统用的是HS256，但密钥是弱口令，那咱们就别客气了，我用Burp Suite的插件或者自己写个小脚本，挂上一个超大的弱密钥字典，开始“哐哐”爆破。

诶,别觉得这low，实战中我碰到过好多用公司名、生日、admin这类做密钥的，当你爆破出secret那一刻，我真的会谢！感觉就像在玩寻宝游戏，终于挖到了金矿，不过话说回来，这招比较考验字典和运气，但作为众测技巧来说，绝对是性价比超高的一项。

篡改Payload，指哪打哪

有时候算法和密钥都搞不定,但Token内容没做签名校验（或者校验不严），那咱就直接改Payload，比如把"username": "guest"改成"username": "admin"，把"role": "user"改成"role": "vip"。

我当时改完,心里也直打鼓，寻思着：“这能行吗？不会把我IP封了吧？”结果一点提交，数据包直接返回了200 OK，里面躺着我心心念念的敏感数据！那一刻，我真的想对着屏幕喊一句：“还有谁？！”这就是JWT伪造的魅力，硬刚”不行，换个思路“智取”反而有奇效！

第三幕：踩坑与反思（我可不想你被踢出SRC项目）

光教你怎么打,不讲讲怎么防，那是不负责任的，咱们作为白帽黑客，挖洞的目的是为了让世界更安全，不是搞破坏，我在众测过程中，也遇到过“翻车”的情况。

有一回,我伪造Token准备大干一场，结果发现系统不仅校验了签名，还校验了IP和User-Agent，我当时那个尴尬啊，差点用脚趾抠出三室一厅，所以说，JWT伪造的众测技巧虽然好使，但一定得注意测试边界，别一激动把人家生产环境给搞崩了，咱得优雅地证明漏洞存在，拿到证据就行，千万别做多余的操作哦！

看到很多新手朋友一上来就对大厂的SRC下手,结果被人家WAF打得满头包，我的建议是，先从众测平台的众测项目练手，那些项目授权更明确，环境相对封闭，更适合咱们积累JWT伪造的实战经验，别怕，是金子总会发光，多试几次你绝对能找到感觉！