Skip to content
JWTtool

Beispiele

Waehle ein Szenario zum Testen

Jede Karte beschreibt ein reales JWT-Problem, was du lernst, und oeffnet ein sicheres Beispiel-Token im Workbench, ohne lange Strings einzufuegen.

  • WASM im Browser
  • Kein Upload
  • Lokal zuerst
Tests starten
Ablauf · HMACEinsteigerGeneric API / Auth0-style

Abgelaufene HS256-Session

Problem: Das Token laesst sich noch parsen, aber exp liegt in der Vergangenheit, typisch fuer alte Sessions und Refresh-Bugs.

Du testest: Ablauf-Findings ansehen, exp verlaengern, HMAC-Crack und Privileg-Mutationen testen.

eyJhbGciOiJI…….••••••••…adQssw5c
RisikoanalyseAblauf verlaengernZu admin machenHMAC-Secret cracken
Erwartete Findings
  • Abgelaufenes Token
  • Privileg-Claim
  • Fehlender issuer/audience
Beispiel-Token testen
Algorithmus-BypassEinsteigerLegacy APIs

Nicht signiertes alg:none-Token

Problem: Der Algorithmus none akzeptiert eine leere Signatur, ein klassischer JWT-Bypass bei schwacher Verifikation.

Du testest: Nicht signierten Zustand inspizieren, alg:none-Varianten erzeugen und Payload-Claims bearbeiten.

eyJhbGciOiJu…….••••••••…
Keine Signaturalg:none-VariantenPayload bearbeiten
Erwartete Findings
  • Nicht signierter Algorithmus
  • Admin-Rollen-Claim
  • Leere Signatur
Beispiel-Token testen
Privileg-ClaimsMittelAuth0 / custom APIs

Rollen-Eskalation im Auth0-Stil

Problem: Anwendungsautorisierung haengt oft von rollenartigen Claims ab, die direkt im Token stecken.

Du testest: Pruefen, wie JWTtool Privileg-Claims hervorhebt und admin-orientierte Mutationen erzeugt.

eyJhbGciOiJI…….••••••••…adQssw5c
RollenerkennungAdmin-MutationDiff-Pruefung
Erwartete Findings
  • Privileg-Claim
  • Symmetrischer Algorithmus
  • Fehlende audience
Beispiel-Token testen
Session-AblaufEinsteigerAWS Cognito-style

Veraltete Cognito-Session pruefen

Problem: Abgelaufene Access Tokens verursachen haeufig verwirrende Auth-Fehler und schwaches Refresh-Handling.

Du testest: Ablaufrisiko pruefen, exp fuer autorisierte Tests verlaengern und das erzeugte Token vergleichen.

eyJhbGciOiJI…….••••••••…adQssw5c
Ablauf pruefenexp verlaengernTest-Token kopieren
Erwartete Findings
  • Abgelaufenes Token
  • Moderater Risiko-Score
  • Aktion Ablauf verlaengern
Beispiel-Token testen
Issuer / audienceFortgeschrittenCI/CD OIDC

GitHub OIDC-Vertrauensgrenze

Problem: OIDC-Tokens tragen oft Repository-, Workflow- und Subject-Claims, die exakt validiert werden muessen.

Du testest: Viewer und Risiko-Panel nutzen, um Claims vor dem Test von Policy-Annahmen zu inspizieren.

eyJhbGciOiJI…….••••••••…adQssw5c
issuer/audience pruefenSubject manipulierenVarianten exportieren
Erwartete Findings
  • Fehlender issuer
  • Fehlende audience
  • Manipulationspresets
Beispiel-Token testen
Custom ClaimsMittelFirebase-style

Benutzerdefinierter Firebase-admin-Claim

Problem: Custom Claims koennen versehentlich zu Autorisierungsschaltern werden, wenn Server-Checks zu locker sind.

Du testest: Privilegtragende Claims erkennen und mutieren, bevor die Ausgabe verglichen wird.

eyJhbGciOiJu…….••••••••…
Admin-Claim pruefenalg:none-VariantenPayload bearbeiten
Erwartete Findings
  • Nicht signierter Algorithmus
  • Admin-Rolle
  • Payload editierbar
Beispiel-Token testen

Ein Szenario in ein erzeugtes Test-Token verwandeln

Teste ein Beispiel-Token, pruefe erwartete Findings, fuehre den empfohlenen Angriff aus und kopiere das erzeugte Ergebnis.

Lokal testenBeispiel-Token testen