Skip to content
JWTtool

Exemples

Choisissez un scenario a tester

Chaque carte decrit un probleme JWT reel, ce que vous apprendrez, et ouvre un token d'exemple sur dans le workbench sans coller de longues chaines.

  • WASM dans le navigateur
  • Aucun envoi
  • Local d'abord
Commencer les tests
Expiration · HMACDebutantGeneric API / Auth0-style

Session HS256 expiree

Probleme : Le token se parse encore, mais exp est dans le passe, frequent avec les sessions obsoletes et les bugs de refresh.

Vous testerez : Voir les constats d'expiration, prolonger exp, essayer le crack HMAC et les mutations de privilege.

eyJhbGciOiJI…….••••••••…adQssw5c
Analyse du risqueProlonger l'expirationPromouvoir en adminCracker le secret HMAC
Constats attendus
  • Token expire
  • Claim de privilege
  • Issuer/audience manquant
Essayer un token d'exemple
Contournement d'algorithmeDebutantLegacy APIs

Token alg:none non signe

Probleme : L'algorithme none accepte une signature vide, un contournement JWT classique quand la verification est faible.

Vous testerez : Inspecter l'etat non signe, generer des variantes alg:none et modifier les claims du payload.

eyJhbGciOiJu…….••••••••…
Signature absenteVariantes alg:noneEdition du payload
Constats attendus
  • Algorithme non signe
  • Claim role admin
  • Signature vide
Essayer un token d'exemple
Claims de privilegeIntermediaireAuth0 / custom APIs

Escalade de role style Auth0

Probleme : L'autorisation applicative depend souvent de claims de type role integres directement dans le token.

Vous testerez : Verifier comment JWTtool met en avant les claims de privilege et genere des mutations orientees admin.

eyJhbGciOiJI…….••••••••…adQssw5c
Detection de roleMutation adminRevue du diff
Constats attendus
  • Claim de privilege
  • Algorithme symetrique
  • Audience manquante
Essayer un token d'exemple
Expiration de sessionDebutantAWS Cognito-style

Revue de session Cognito obsolete

Probleme : Les access tokens expires causent souvent des echecs auth confus et une gestion de refresh fragile.

Vous testerez : Examiner le risque d'expiration, prolonger exp pour un test autorise et comparer le token genere.

eyJhbGciOiJI…….••••••••…adQssw5c
Revue d'expirationProlonger expCopier le token de test
Constats attendus
  • Token expire
  • Score de risque modere
  • Action prolonger expiration
Essayer un token d'exemple
Issuer / audienceAvanceCI/CD OIDC

Frontiere de confiance OIDC GitHub

Probleme : Les tokens OIDC portent souvent des claims de depot, workflow et subject qui doivent etre valides exactement.

Vous testerez : Utiliser le visualiseur et le panneau de risque pour inspecter les claims avant de tester les hypotheses de politique.

eyJhbGciOiJI…….••••••••…adQssw5c
Revue issuer/audienceAlterer subjectExporter les variantes
Constats attendus
  • Issuer manquant
  • Audience manquante
  • Presets d'alteration
Essayer un token d'exemple
Claims personnalisesIntermediaireFirebase-style

Claim admin personnalise Firebase

Probleme : Les claims personnalises peuvent devenir accidentellement des interrupteurs d'autorisation si les controles serveur sont trop permissifs.

Vous testerez : S'entrainer a identifier et modifier les claims porteurs de privilege avant de comparer la sortie.

eyJhbGciOiJu…….••••••••…
Revue du claim adminVariantes alg:noneEdition du payload
Constats attendus
  • Algorithme non signe
  • Role admin
  • Payload editable
Essayer un token d'exemple

Transformez un scenario en token de test genere

Essayez un token d'exemple, examinez les constats attendus, puis lancez l'attaque recommandee et copiez le resultat genere.

Tester localementEssayer un token d'exemple