第21天

JSON Web Token（JWT）

JWT是一种紧凑且自包含的方式，用于在网络上安全地传输信息作为JSON对象。这些信息可以被验证和信任，因为它们是数字签名的。JWT通常用于身份验证和信息交换，下面是一个简化的JWT示例：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvZSBCbG9nZ3MiLCJpYXQiOjE1MTYyMzkwMjJ9.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

这个示例可以分为三个部分，由两个点（.）分隔：

1. Header（头部）: 描述JWT的元数据，比如使用的算法（例如：HS256）。

   eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
   

   解码后的内容是:

   {"alg": "HS256","typ": "JWT"
   }
   

2. Payload（载荷）: 包含所要传递的数据，它可以包含多个预定义的声明或我们添加的自定义声明。

   eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvZSBCbG9nZ3MiLCJpYXQiOjE1MTYyMzkwMjJ9
   

   解码后的内容是:

   {"sub": "1234567890","name": "Joe Blogs","iat": 1516239022
   }
   

3. Signature（签名）: 通过将前两部分的编码字符串用密钥进行签名生成，以验证消息的发送者和确保消息在传输过程中未被篡改。

   SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
   

生成JWT的过程包括对header和payload进行Base64编码，然后使用header中指定的算法和密钥对它们进行签名。JWT的这种结构使得它在Web环境中特别有用，可以在客户端和服务器之间轻松安全地传递信息。

第一种攻击方式

如果将alg设置为None，即为对数据不进行加密，因此数据极有可能被攻击者随意篡改。但如果JWT采用了加密算法，那么修改数据之后会因为加密的原因无效

第二种攻击方式

由于一般情况下JWT都会采用加密，因此还可以通过爆破的方式获得密钥，密钥位于Signature部分，如果获得了密钥，那么再修改数据就会有效

第三种攻击方式

有的时候密钥不是固定的写在代码里，而是通过KID设置的路径名读取密钥文件，而这个时候可以通过设置KID的值读取其他文件或者执行命令

不安全的第三方组件

在搭建网站时可能会用到第三方组件或库，而如果攻击者知道了这些组件的漏洞那么就可以利用起来攻击网站，比如log4j