JWT密钥爆破工具--支持PEM证书

JWT_Decode-wuwu
JWT密钥爆破工具 (wuwu)

• 支持 HS256，HS384，HS512，RS256，RS384，RS512，ES256，ES384，ES512，PS256，PS384，PS512等算法 (除EdDSA)的 各种 JWT 的密钥 爆破…

下载地址
GitCode：https://gitcode.com/2503_93467670/JWT_Decode
GitHub：https://github.com/3wdsys-cyber/JWT_Decode-wuwu

1. JWT_Decode密钥爆破工具说明

• 本工具目前除了EdDSA不支持，其他所有算法都支持爆破。你只需要去考虑字典问题，其他不用再担心，全都交给我。 当你使用本工具爆不出来，那基本就不用考虑其他工具了，那是 99.999% 爆破不出来。

使用本工具后，你只需要考虑1件事情：
        是增加 字典 数量， 还是提升 字典 质量？！

2. 运行及使用

• 首先你得知道什么是jwt，如果不知道建议放弃。因为本工具只精准的针对爆破，你不懂后面篡改和签名等操作你也不会，拿到金库钥匙也不知道咋开锁，白瞎

使用
① 工具的最上面选择你最宝贵的字典，这个字典直接决定了你的成功率 (建议 通用字典 和自己针对目标生成的 定制字典 都试一试)
② CPU并行爆破选项直接决定了爆破效率，除非CPU特别垃圾，不然一般建议勾选 （它的主要作用简单的说是做了多线程。除非你的cpu核心数非常小、或仅单线程运行时比较强劲才不勾选。当然如果你的cpu已经强劲到随便咋整都很快的时候，也就是性能瓶颈在硬盘的时候，建议也取消勾选，因为多线程并行会降低文件的读取速度）
③ JWT文本中只需要填入你要爆破的jwt即可
④ 结果展示，如果爆破成功，爆破出的密钥在结果中以 [+] 开头的行内


字典

• 字典建议为 *.txt 格式，内容为UTF-8编码
• 一条字典为一行，RSA等所有算法都一样！！！

运行速度

• 
  这个时候就要提到字典的数量了。俗话说质不够，量来凑。那么建议使用多大的字典呢？
• 
  Q&A：
  1000？ 一万？
  至少一千万！！！
  你没听错，上千万的字典，如果你电脑性能很好，且不在乎 喝个水、上个厕所 的半小时时间，我都想建议直接上亿的字典。（穷则精准打击，富则火力覆盖）
  本工具就是这么的牛！！！

下面是我十二代i7处理器的电脑，基本一千四百万的字典，2分钟内都能爆完


支持PEM证书

• 是的，你没看错，针对RSA等签名，如果你有通用的PEM证书字典，或者正对这个目标收集到了不少 -----BEGIN PUBLIC KEY----- 或 -----BEGIN PRIVATE KEY----- ，可以将他们变成一个证书一行字典的形式进行爆破，说不准你会有新的惊喜
  (还在觉得只有弱口令字典才行，RSA等PEM类型的证书签名就直接默认放弃了？不可能的，以为证书就可以保证安全了，解决了弱口令，那信息泄露呢？哈哈哈哈，我要让你看到证书的时候不是失望放弃，而是两眼放光开心到起飞)
  
  

自动支持ES的base64url编码爆破

• 依然是这么厉害，因为写这个工具的初衷就是发现了base64url的短密钥即便字典中存在，大部分工具也爆不出来，因为他们大部分只是对字典进行ES的UTF-8进行爆破 （慢就算了，还不支持base64url，字典中有密钥都跑不出来，忍不了了）

3. 算法 支持 JWT Decode

密钥算法	支持
HS256	√
HS384	√
HS512	√
RS256	√
RS384	√
RS512	√
ES256	√
ES384	√
ES512	√
PS256	√
PS384	√
PS512	√
…	√
EdDSA	×

致谢
非常感谢 GitHub提供平台、Windows提供运行环境、Java提供开发，并感谢 CPU、硬盘、存储 等好友的大力支持，当然最后感谢我自己头发，遇bug的时候就薅它，感谢他为这个项目承受了2周的发泄。
随语
关于jdk为什么是11的问题，我只能说我脑残选错了。这个决定在写代码的时候并没有出现任何很明显的问题，甚至在代码的开发与运行效率方面都有所提升，主观上感觉jdk11比jdk8在运行代码方面更加高效（只是感觉），我甚至还在沾沾自喜。
但这个错误的决定，在打包的时候集体爆发，jdk11在编译兼容、及各种打包转exe等等方面非常差，比如说最明显的jpackage这个命令并没有，它只在jdk14后才会有，这并没有什么因为jdk8的时候可以用很多其他的兼容工具和三方工具，但是重点是三方或兼容工具大部分只支持jdk8，即便部分工具支持新的jdk，并说明支持 jdk9+ ，但在jdk版本选择时，最高只能选择到10（最强架构师之10进制转换，所以只支持到10？！）


注：本文章仅用于渗透交流学习，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任