篡改JWT是怎样实现账户劫持

# 篡改JWT是怎样实现账户劫持

## 引言

JSON Web Token（JWT）作为现代Web应用广泛使用的身份验证机制，因其轻量级和自包含特性备受青睐。然而，其设计特性也使其成为攻击者的目标。本文将深入剖析JWT篡改攻击的技术原理、实现方式及防御策略，揭示攻击者如何通过操纵JWT实现账户劫持。

---

## 一、JWT基础结构解析

### 1.1 JWT组成要素
典型的JWT由三部分组成，以点号分隔：

Header.Payload.Signature

- **Header**：包含算法类型（如HS256/RS256）和令牌类型
  ```json
  {
    "alg": "HS256",
    "typ": "JWT"
  }

• Payload：存储用户声明（claims）

  {
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true,
  "exp": 1620000000
  }
  

• Signature：前两部分Base64编码后的签名验证串

1.2 典型工作流程

1. 用户登录后服务端生成JWT
2. 客户端存储JWT（通常为localStorage或Cookie）
3. 后续请求携带JWT进行身份验证
4. 服务端验证签名有效性

---

二、JWT篡改攻击技术矩阵

2.1 算法篡改攻击（Algorithm Switch）

攻击场景：当服务端配置存在缺陷时

1. 修改Header中的算法为none：

   
   {"alg":"none","typ":"JWT"}
   

2. 删除原始Signature部分
3. 服务端未严格验证算法时接受未签名令牌

防御方案：

# Flask-JWT示例
app.config['JWT_ALGORITHM'] = 'HS256'  # 强制指定算法

2.2 弱密钥爆破攻击

攻击流程： 1. 使用常见弱密码字典（如secret、password） 2. 通过工具爆破签名密钥：

   john --wordlist=top1000.txt jwt.txt

1. 成功爆破后伪造任意令牌

实验数据：

密钥强度	爆破时间（8核CPU）
6位纯数字	< 2分钟
8位字母数字	~3天
32位随机字符	不可行

2.3 签名验证绕过

关键漏洞点： - 服务端未验证签名有效性 - 使用strcmp()等不安全比较函数

PoC示例：

// 原始签名失效但服务端未检测
const fakeToken = btoa('{"alg":"HS256"}') + '.' + 
                  btoa('{"sub":"admin"}') + '.';

---

三、实战化攻击链条

3.1 信息收集阶段

1. 通过Burp Suite拦截正常JWT
2. 使用jwt.io解码分析：

3.2 载荷篡改技术

敏感字段修改：

{
  "sub": "user123",
- "role": "user",
+ "role": "admin",
  "exp": 9999999999  // 修改过期时间
}

工具自动化：

python3 jwt_tool.py -t https://target.com -rc "role=admin"

3.3 会话固定攻击

1. 诱骗受害者点击恶意链接：

   
   <img src="https://target.com/auth?token=EVIL_JWT">
   

2. 受害者浏览器存储攻击者预设的JWT
3. 攻击者使用相同令牌登录

---

四、企业级防御方案

4.1 安全配置清单

防护措施	实施示例
强制HS256算法	JWT_ALGORITHM=HS256
短期有效期	exp不超过2小时
密钥轮换机制	每月更新签名密钥

4.2 签名验证最佳实践

// Java Spring Security示例
Jwts.parser()
    .require("iss", "expected_issuer")
    .setSigningKey(secretKey)
    .parseClaimsJws(token);

4.3 监控与审计

• 异常JWT格式告警
• 多次失败验证日志
• 实时黑名单机制（jti声明）

---

五、法律与伦理边界

根据《网络安全法》第二十七条：

任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动。

安全研究人员应遵守： 1. 仅测试授权系统 2. 使用测试账户 3. 及时提交漏洞报告

---

结语

JWT安全本质是信任边界的管理问题。通过理解攻击原理、实施纵深防御策略，开发者可构建更健壮的身份验证体系。建议定期进行安全审计，并关注OWASP发布的JWT安全指南更新。

扩展阅读： - RFC 7519 JWT规范 - OWASP JWT Cheat Sheet “`

注：本文为技术研究文档，实际攻击测试需获得合法授权。所有示例代码需根据实际环境调整，生产环境建议咨询专业安全团队。