JWT Tool 是一个强大的JSON Web Token测试工具包，专门为开发者和安全测试人员设计。这款工具提供了完整的JWT解析生成器功能，支持在线JWT调试工具操作，能够帮助用户快速识别和测试JWT实现中的安全问题。
【免费下载链接】jwt_tool :snake: A toolkit for testing, tweaking and cracking JSON Web Tokens 项目地址: https://gitcode.***/gh_mirrors/jw/jwt_tool
🔧 核心功能特性
全面的JWT解析生成器 - 支持解码和验证现有JWT令牌，显示Header、Payload和Signature三个组成部分的详细信息。通过简单的命令行操作即可完成JWT解析步骤：
python3 jwt_tool.py <your_jwt_token>
安全问题检测 - 内置多种已知JWT问题测试，包括：
- alg=none签名绕过问题（CVE-2015-2951）
- RS/HS256公钥不匹配问题（CVE-2016-10555）
- 密钥不当使用问题（CVE-2018-0114）
- 空密码问题（CVE-2019-20933/CVE-2020-28637）
- 空签名问题（CVE-2020-28042）
快速生成JWT方法 - 支持自定义Header和Payload内容，使用不同的签名算法（HS256、RS256、ES256等）生成新的JWT令牌。核心功能源码位于 jwt_tool.py。
🚀 一键安装与配置
Docker方式（推荐）
docker run -it --***work "host" --rm -v "${PWD}:/tmp" -v "${HOME}/.jwt_tool:/root/.jwt_tool" ticarpi/jwt_tool
手动安装
git clone https://gitcode.***/gh_mirrors/jw/jwt_tool
cd jwt_tool
python3 -m pip install -r requirements.txt
首次运行时，工具会自动生成配置文件、实用文件和密钥对，确保所有功能正常运行。
📊 实用操作指南
基本JWT解析步骤
- 获取目标JWT令牌
- 运行解析命令：
python3 jwt_tool.py <JWT> - 查看解码后的Header和Payload信息
- 验证签名有效性
高级扫描功能
使用Playbook扫描模式对应用程序进行全面测试：
python3 jwt_tool.py -t https://target.***/ -rc "jwt=your_token" -M pb
自定义令牌生成
通过修改配置文件 ***mon-headers.txt 中的常见Header值，可以快速生成符合特定需求的JWT令牌。
💡 优势对比
| 功能特性 | JWT Tool | 其他工具 |
|---|---|---|
| 问题检测覆盖 | ⭐⭐⭐⭐⭐ 支持多种CVE问题 | ⭐⭐⭐ 有限支持 |
| 易用性 | ⭐⭐⭐⭐ 命令行交互 | ⭐⭐ 需要编程知识 |
| 自定义程度 | ⭐⭐⭐⭐⭐ 高度可配置 | ⭐⭐⭐ 中等配置 |
| 社区支持 | ⭐⭐⭐⭐ 活跃开发 | ⭐⭐ 更新较慢 |
🛡️ 安全测试工作流
- 侦察阶段 - 解析现有JWT令牌，了解应用程序使用的Claims和结构
- 扫描阶段 - 运行自动化扫描，检测常见配置错误和问题
- 利用阶段 - 对发现的问题进行深入测试和利用
- 模糊测试 - 测试异常值和边界情况，发现意外行为
📝 最佳实践建议
- 定期使用JWT Tool对生产环境的JWT实现进行安全测试
- 在开发阶段集成JWT扫描到CI/CD流程中
- 使用自定义密钥和配置进行更全面的测试
- 关注工具更新，及时获取最新的问题检测能力
JWT Tool作为专业的在线JWT调试工具，为开发者和安全专业人员提供了强大而实用的JWT测试解决方案。无论是进行安全审计还是开发测试，这款工具都能提供可靠的支持和深入的洞察。
【免费下载链接】jwt_tool :snake: A toolkit for testing, tweaking and cracking JSON Web Tokens 项目地址: https://gitcode.***/gh_mirrors/jw/jwt_tool
