【CTF-Web考点讲解 jwt】

JWT简介

JWT, 全称是JSON Web Token，是一种易于使用、无状态的鉴权(Authorization)方式。

简单的来说，就是服务端把JSON数据经过加密做成token，以授权给客户端。

存在的风险

敏感信息泄露、未校验签名

签名算法可被修改为none

签名密钥可被爆破

格式解析

解密时密钥不对就会报错

正确时就会和刚刚解出来是一样的

JWT伪造

推荐网站：https://jwt.io/
输入密文会自动解密出来，下面还可以输入key，如果在这修改key的话

返回用1234解密就解密失败了

同时改成之前在网站修改的key rdd 就可以解密出来

修改载荷

返回也正常解密出来，假如这时修改成admin，用管理员的号就可以操控