jwt_tool

Manipula y refirma JWT; prueba secretos débiles y confusiones de algoritmo.

Navaja suiza para JSON Web Tokens: decodifica, manipula (modo tamper) y refirma tokens, prueba el ataque alg:none, la confusión de algoritmo RS256→HS256 y otros fallos. Con una clave HMAC filtrada permite forjar tokens arbitrarios (por ejemplo, poner is_admin:true).

Familia Explotación web

Flags -T -S hs256 -p -X

Conceptos JWT Attacks, JWT Forgery (Leaked Secret), JWT Forgery (Embedded JWK, Weak RSA)

Cheatsheet JWT (JSON Web Tokens)

Instalación

pipx install jwt-tool

Repositoriogithub.com/ticarpi/jwt_tool

Comandos útiles4 comandos

Herramienta de referencia: aún no aparece en una máquina publicada del blog, pero forma parte del arsenal por su uso habitual.