搜索

[7609] 2021-05-29_JWT安全分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-17
2021-05-29_JWT安全分析 J W T 安 全 分 析 F 1 2 s e c   2 0 2 1 - 0 5 - 2 9 以 下 文 章 来 源 于 网 络 安 全 学 习   ， 作 者 网 络 安 全 学 习 0 x 0 0   J W T 介 绍 介 绍 J S O N   w e b   t o k e n   ( J W T ) , 一 种 基 于 一 种 基 于 J S O N 格 式 的 字 符 串 格 式 的 字 符 串 . 该 该 t o k e n 被 设 计 为 紧 凑 且 安 全 的 ， 特 别 适 用 于 分 布 式 站 点 的 单 点 登 录 （ 被 设 计 为 紧 凑 且 安 全 的 ， 特 别 适 用 于 分 布 式 站 点 的 单 点 登 录 （ S S O ） 场 景 。 ） 场 景 。 J W T 的 声 明 一 般 被 用 来 在 身 份 提 供 者 和 服 务 提 供 者 的 声 明 一 般 被 用 来 在 身 份 提 供 者 和 服 务 提 供 者 间 传 递 被 认 证 的 用 户 身 份 信 息 ， 以 便 于 从 资 源 服 务 器 获 取 资 源 ， 也 可 以 增 加 一 些 额 外 的 其 它 业 务 逻 辑 所 必 须 的 声 明 信 息 ， 该 间 传 递 被 认 证 的 用 户 身 份 信 息 ， 以 便 于 从 资 源 服 务 器 获 取 资 源 ， 也 可 以 增 加 一 些 额 外 的 其 它 业 务 逻 辑 所 必 须 的 声 明 信 息 ， 该 t o k e n 也 可 直 接 被 用 于 认 证 ， 也 可 被 加 密 。 也 可 直 接 被 用 于 认 证 ， 也 可 被 加 密 。 0 x 0 1   组 成 组 成 J W T 是 由 h e a d e r 、 p a y l o a d 、 s i g n a t u r e 三 段 信 息 构 成 的 ， 将 这 三 段 信 息 文 本 用 “ . ” 链 接 一 起 就 构 成 了 J w t 字 符 串 。 1 . 1   h e a d e r J W T 头 部 承 载 两 部 分 信 息 ： 示 例 ： { ' t y p ' :   ' J W T ' , ' a l g ' :   ' H S 2 5 6 ' } 然 后 对 头 部 J S O N 字 符 串 进 行 b a s e 6 4 编 码 ， 最 终 为 ： e y J 0 e X A i O i J K V 1 Q i L C J h b G c i O i J I U z I 1 N i J 9 1 . 2   p a y l o a d 载 荷 就 是 承 载 有 效 信 息 的 部 分 ， 该 部 分 主 要 包 含 ： 制 作 一 个 p a y l o a d ： 然 后 对 其 进 行 b a s e 6 4 编 码 ， 得 到 第 二 部 分 1 . 3   s i g n a t u r e j w t 的 第 三 部 分 是 一 个 签 证 信 息 ， 这 个 签 证 信 息 由 三 部 分 组 成 ： 这 个 部 分 需 要 b a s e 6 4 加 密 后 的 h e a d e r 和 b a s e 6 4 加 密 后 的 p a y l o a d 使 用 . 连 接 组 成 的 字 符 串 ， 然 后 通 过 h e a d e r 中 声 明 的 加 密 方 式 进 行 加 盐 s e c r e t 组 合 加 密 ， 然 后 就 构 成 了 j w t 的 第 三 部 分 。 注 意 ： 注 意 ： s e c r e t 是 必 须 保 存 在 服 务 器 端 的 ， 是 必 须 保 存 在 服 务 器 端 的 ， j w t 的 签 发 生 成 也 是 在 服 务 器 端 的 ， 的 签 发 生 成 也 是 在 服 务 器 端 的 ， s e c r e t 就 是 用 来 进 行 就 是 用 来 进 行 j w t 的 签 发 和 的 签 发 和 j w t 的 验 证 ， 所 以 ， 它 就 是 你 服 务 端 的 私 钥 ， 在 任 何 场 景 都 不 应 该 流 露 出 去 。 一 的 验 证 ， 所 以 ， 它 就 是 你 服 务 端 的 私 钥 ， 在 任 何 场 景 都 不 应 该 流 露 出 去 。 一 旦 客 户 端 得 知 这 个 旦 客 户 端 得 知 这 个 s e c r e t ,   那 就 意 味 着 客 户 端 是 可 以 自 我 签 发 那 就 意 味 着 客 户 端 是 可 以 自 我 签 发 j w t 了 。 了 。 本 次 通 过 h t t p s : / / j w t . i o / # d e b u g g e r - i o 在 线 生 成 J W T 网 络 安 全 学 习 网 络 安 全 学 习   . 知 白 守 黑 ， 专 注 于 分 享 资 源 ， 网 安 教 学 。 保 持 热 情 ， 欢 迎 咨 询 。 声 明 类 型 ， 这 里 是 J W T 声 明 加 密 的 算 法   通 常 直 接 使 用   H M A C   S H A 2 5 6 标 准 中 注 册 的 声 明 ( 建 议 标 准 ， 非 强 制 要 求 ) i s s :   j w t 签 发 者 s u b :   j w t 所 面 向 的 用 户 a u d :   接 收 j w t 的 一 方 e x p :   j w t 的 过 期 时 间 ， 这 个 过 期 时 间 必 须 要 大 于 签 发 时 间 n b f :   定 义 在 什 么 时 间 之 前 ， 该 j w t 都 是 不 可 用 的 . i a t :   j w t 的 签 发 时 间 j t i :   j w t 的 唯 一 身 份 标 识 ， 主 要 用 来 作 为 一 次 性 t o k e n , 从 而 回 避 重 放 攻 击 。 公 共 的 声 明 ： 可 以 添 加 任 何 的 信 息 ， 一 般 添 加 用 户 的 相 关 信 息 或 其 他 业 务 需 要 的 必 要 信 息 . 但 不 建 议 添 加 敏 感 信 息 ， 因 为 该 部 分 在 客 户 端 可 解 密 。 私 有 的 声 明 ： 私 有 声 明 是 提 供 者 和 消 费 者 所 共 同 定 义 的 声 明 ， 一 般 不 建 议 存 放 敏 感 信 息 ， 因 为 b a s e 6 4 是 对 称 解 密 的 ， 意 味 着 该 部 分 信 息 可 以 归 类 为 明 文 信 息 。 { " i s s " :   " 网 络 安 全 学 习 " , " n a m e " :   " W A   S E C " , " a u d " :   " e v e r y o n e " } e y J p c 3 M i O i L n v Z H n u 5 z l r o n l h a j l r a b k u a A i L C J u Y W 1 l I j o i V 0 E g U 0 V D I i w i Y X V k I j o i Z X Z l c n l v b m U i f Q h e a d e r   ( b a s e 6 4 后 的 ) p a y l o a d   ( b a s e 6 4 后 的 ) s e c r e t
s e c r e t 为 ： W A _ S E C 1 . 4   发 送 发 送 J W T 一 般 都 是 在 H T T P 的 请 求 头 中 添 加 A u t h o r i z a t i o n 字 段 ， 并 标 记 为 b e a r e r 例 如 : 0 x 0 2   安 全 性 分 析 安 全 性 分 析 2 . 1   敏 感 信 息 泄 露 敏 感 信 息 泄 露 B a s e 6 4 为 对 称 编 码 ， J W T 中 的 h e a d e r   和   p a y l o a d   虽 然 看 起 来 不 可 读 ， 但 实 际 上 都 只 经 过 简 单 编 码 ( 编 码 不 等 于 加 密 ) ， 开 发 者 可 能 误 将 敏 感 信 息 存 储 在 里 面 。 刻 画 段 可 以 通 过 B a s e 6 4 解 码 J W T 中 前 两 部 分 的 信 息 。 2 . 2   误 用 加 密 算 法 误 用 加 密 算 法 加 密 算 法   n o n e   是 J W T 规 范 中 强 制 要 求 实 现 的 ， 但 有 些 实 现 J W T 的 库 直 接 将 使 用 n o n e   算 法 的 t o k e n 视 为 已 经 过 校 验 。 这 样 攻 击 者 就 可 以 设 置 a l g   为 n o n e   ， 使 s i g n a t u r e   部 分 为 空 ， 然 后 构 造 包 含 任 意 p a y l o a d 的 J W T 来 欺 骗 服 务 端 。 2 . 3   秘 钥 泄 露 秘 钥 泄 露 上 面 讲 过 ， s e c r e t 字 段 是 保 存 在 服 务 端 的 ， 由 于 各 种 原 因 秘 钥 可 能 会 泄 露 到 互 联 网 上 ， 攻 击 者 得 到 秘 钥 后 即 可 随 意 自 签 发 J W T 欺 骗 服 务 器 。 此 外 在 开 发 环 境 和 生 产 环 境 尽 量 使 用 不 同 的 秘 钥 。 2 . 4   秘 钥 强 度 不 够 秘 钥 强 度 不 够 既 然 秘 钥 是 一 串 字 符 ， 如 果 秘 钥 过 短 则 可 能 被 攻 击 者 暴 力 破 解 ， 建 议 使 用 真 随 机 算 法 生 成 高 强 度 随 机 字 符 串 充 当 秘 钥 ， 避 免 使 用 单 词 等 固 定 词 语 0 x 0 3   特 点 总 结 特 点 总 结 往 期 推 荐 渗 透 工 具 包 3 . 5 （ 配 置 好 附 教 程 ） M Y S Q L 注 入   G E T S H E L L p h p 反 序 列 化 入 门 v u l n s t a c k ： 红 队 评 估 一 S Q L 注 入 过 w a f （ 1 ） J W T   默 认 是 不 加 密 ， 但 也 是 可 以 加 密 的 。 生 成 原 始   T o k e n   以 后 ， 可 以 用 密 钥 再 加 密 一 次 。 （ 2 ） J W T   不 加 密 的 情 况 下 ， 不 能 将 秘 密 数 据 写 入   J W T 。 （ 3 ） J W T   不 仅 可 以 用 于 认 证 ， 也 可 以 用 于 交 换 信 息 。 有 效 使 用   J W T ， 可 以 降 低 服 务 器 查 询 数 据 库 的 次 数 。 （ 4 ） J W T   的 最 大 缺 点 是 ， 由 于 服 务 器 不 保 存   s e s s i o n   状 态 ， 因 此 无 法 在 使 用 过 程 中 废 止 某 个   t o k e n ， 或 者 更 改   t o k e n   的 权 限 。 也 就 是 说 ， 一 旦   J W T   签 发 了 ， 在 到 期 之 前 就 会 始 终 有 效 ， 除 非 服 务 器 部 署 额 外 的 逻 辑 。 （ 5 ） J W T   本 身 包 含 了 认 证 信 息 ， 一 旦 泄 露 ， 任 何 人 都 可 以 获 得 该 令 牌 的 所 有 权 限 。 为 了 减 少 盗 用 ， J W T   的 有 效 期 应 该 设 置 得 比 较 短 。 对 于 一 些 比 较 重 要 的 权 限 ， 使 用 时 应 该 再 次 对 用 户 进 行 认 证 。 （ 6 ） 为 了 减 少 盗 用 ， J W T   不 应 该 使 用   H T T P   协 议 明 码 传 输 ， 要 使 用   H T T P S   协 议 传 输 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理