# WEB17: JWT attacks

## Lab: JWT authentication bypass via unverified signature

This lab uses a JWT-based mechanism for handling sessions. Due to implementation flaws, the server doesn't verify the signature of any JWTs that it receives.

To solve the lab, modify your session token to gain access to the admin panel at /admin, then delete the user carlos.

You can log in to your own account using the following credentials: wiener:peter

Login với thông tin account được cung cấp, ta thấy server trả về JWT


Mở bằng JWT Editor của burp, và thử chính giá trị của trường sub thành admin

sau đó thay đổi lại cookie và access đến `/admin`

-> Thành công

Cuối cùng, gửi request đến `/admin` và solve bài lab

## Lab: JWT authentication bypass via flawed signature verification

This lab uses a JWT-based mechanism for handling sessions. The server is insecurely configured to accept unsigned JWTs.

To solve the lab, modify your session token to gain access to the admin panel at /admin, then delete the user carlos.

You can log in to your own account using the following credentials: wiener:peter

Tương tự như lab trước, sau khi login ta được cấp cho JWT

Gửi đến JWT editor, chỉnh alg thành none đồng thời xóa đi phần signature của JWT (vẫn để lại `.`)


Access đến `/admin` với JWT vừa tạo


Xóa user carlos và solve bài lab


## Lab: JWT authentication bypass via weak signing key

This lab uses a JWT-based mechanism for handling sessions. It uses an extremely weak secret key to both sign and verify tokens. This can be easily brute-forced using a wordlist of common secrets.

To solve the lab, first brute-force the website's secret key. Once you've obtained this, use it to sign a modified session token that gives you access to the admin panel at /admin, then delete the user carlos.

You can log in to your own account using the following credentials: wiener:peter

Login với account được cung cấp, ta thấy thuật toán dùng cho sign token là HS256


Tiếp theo ta sử dụng hashcat để crack secret key với wordlist tại [đây](https://github.com/wallarm/jwt-secrets/blob/master/jwt.secrets.list).


-> Tìm được secret key là `secret1`

Sign lại với jwt.io


Access đến `/admin` và xóa user carlos


Solve


## Lab: JWT authentication bypass via jwk header injection

This lab uses a JWT-based mechanism for handling sessions. The server supports the jwk parameter in the JWT header. This is sometimes used to embed the correct verification key directly in the token. However, it fails to check whether the provided key came from a trusted source.

To solve the lab, modify and sign a JWT that gives you access to the admin panel at /admin, then delete the user carlos.

You can log in to your own account using the following credentials: wiener:peter

Tại JWT Editor Keys tab, ta chọn New RSA key và generate


Tiếp đó, ở Json Web Token tab, chọn Attack -> Embedded JWK để tự động inject thông tin của public key vào header của JWT


Cóp lấy JWT mới, sau đó access đến admin pannel để xóa user carlos


Solve


## Lab: JWT authentication bypass via jku header injection

This lab uses a JWT-based mechanism for handling sessions. The server supports the jku parameter in the JWT header. However, it fails to check whether the provided URL belongs to a trusted domain before fetching the key.

To solve the lab, forge a JWT that gives you access to the admin panel at /admin, then delete the user carlos.

You can log in to your own account using the following credentials: wiener:peter

Tại Json Editor Key chọn New RSA key, sau đó Copy Public key as JWK


Setup exploit server như sau:


ở Json Web Token ta chỉnh lại các giá trị như sau


sau đó chọn Sign và OK


Copy token vừa được gen, gửi lại đến `/admin` để xóa user carlos


## Lab: JWT authentication bypass via kid header path traversal

This lab uses a JWT-based mechanism for handling sessions. In order to verify the signature, the server uses the kid parameter in JWT header to fetch the relevant key from its filesystem.

To solve the lab, forge a JWT that gives you access to the admin panel at /admin, then delete the user carlos.

You can log in to your own account using the following credentials: wiener:peter

Tạo mới một Symmetric Key, với giá trị là null byte (AA== là dạng base64 encode của null byte)


Tiếp đó, chỉnh lại các giá trị trong JWT ban đầu thành như sau

Sau đó chọn Sign, và OK


Gửi lại request đến `/admin` với cookie là JWT vừa tạo


Solve


## Lab: JWT authentication bypass via algorithm confusion

This lab uses a JWT-based mechanism for handling sessions. It uses a robust RSA key pair to sign and verify tokens. However, due to implementation flaws, this mechanism is vulnerable to algorithm confusion attacks.

To solve the lab, first obtain the server's public key. This is exposed via a standard endpoint. Use this key to sign a modified session token that gives you access to the admin panel at /admin, then delete the user carlos.

You can log in to your own account using the following credentials: wiener:peter

Lấy thông tin về public key


Chọn new rsa key sau đó paste thông tin jwk vào dialog


sau đó chọn PEM và cóp lấy giá trị này


base64 encode


chọn new symmetric key và thay đối `k` thành giá trị vừa nhận được ở bước trước đó


Chỉnh lại JWT header và payload sau đó Sign lại



Solve


## Lab: JWT authentication bypass via algorithm confusion with no exposed key

This lab uses a JWT-based mechanism for handling sessions. It uses a robust RSA key pair to sign and verify tokens. However, due to implementation flaws, this mechanism is vulnerable to algorithm confusion attacks.

To solve the lab, first obtain the server's public key. Use this key to sign a modified session token that gives you access to the admin panel at /admin, then delete the user carlos.

You can log in to your own account using the following credentials: wiener:peter

Login và logout 2 lần để lấy jwt, sau đó dùng tool rsa_sign2n để tìm public key


Ta thử với hai tampered JWT và nhận thấy cái đầu tiên là đúng



Base64 encode PEM key


Tạo mới Symmetric key


Chỉnh lại JWT + Sign


Gửi request để xóa user carlos


Solve


###### tags: `portswigger`