在Burp Suite中与JWTS合作

在本节中，我们将研究如何使用Burp Suite测试脆弱的JWT实现。您也可以与我们故意脆弱的互动式使用这些功能练习实验室。

根据您要实现的目标，您可以使用Burp的内置功能。但是，我们建议安装JWT编辑扩展，可从Bapp商店获得。这提供了许多有用的功能，使其更容易与JWT一起使用并执行更复杂的攻击。这些包括：

• 自动突出显示包含JWT的代理历史记录中的任何请求。

• 一个让您的其他标签生成或上传加密密钥以各种格式。

• 一个其他消息编辑选项卡，可让您查看和编辑JWT标题和有效载荷在未编码的JSON中。

• 一个功能签名修改后的JWT直接在Burp Repeater内。

查看JWT的内容

如果您只想以RAW JSON表单查看JWT的内容，则可以在消息编辑器中的令牌部分选择标记的标题或有效负载部分。然后，您可以在检查员控制板。

编辑JWTS的内容

编辑JWTS时，我们建议使用JWT编辑器扩展。加载扩展程序后，只需打开一个包含jwt的请求，在BURP中继器中，然后切换到扩展程序生成的请求JSON网beplay体育能用吗络令牌消息编辑选项卡。

然后您可以使用相应的标题和有效载荷字段编辑JSON数据。

添加新签名键

在大多数情况下，修改JWT后，您需要使用正确的键重新签名，以便签名对应于标题和有效负载中的新值。为简单起见，我们建议使用JWT编辑器扩展对于此过程。

JWT编辑器扩展只能使用已添加到其密钥存储的键签名令牌。您可以上传已经获得的密钥，也可以使用内置功能来生成全新的密钥。

为了在JWT编辑器的密钥商店中添加新键：

1. 切换到扩展生成的JWT编辑键在Burp的主标签栏中的标签。

2. 在屏幕的右侧，单击相关按钮以获取要添加的键的类型，例如新的RSA键。

3. 在对话框中，您有以下选项：

   • 点击产生自动创建选定长度的全新键。

   • 粘贴现有密钥。根据键的类型，您可能能够在JWK和PEM表示之间切换。这也提供了一种在两种格式之间转换的简便方法。

4. 点击好的。密钥保存到扩展名的密钥存储中，您可以从JWT编辑键标签。

一旦添加了密钥存储的钥匙，您就可以使用它们签名JWTS在Burp Repeater中。另外，您可以通过右键单击它们并选择相关格式来将键复制到剪贴板。

签署JWTS

使用JWT编辑器扩展：

1. 添加合适的键到扩展名的钥匙店。

2. 在Burp Repeater中，使用JSON网beplay体育能用吗络令牌消息编辑选项卡到修改JWT标头和有效载荷。

3. 在屏幕的底部，单击符号。

4. 在对话框中，从扩展名的密钥存储中选择相关的签名密钥。

5. 如有必要，请选择要使用的签名算法。通常会根据您选择的键的类型自动更新，但是您可能需要在执行时修改此内容算法混乱攻击。您还可以自动更新一些JWT标头。

6. 点击好的。请求中的JWT替换为您的修改后。