JSON Web Token 弱密钥
high Web App Scanning 插件 ID 112697
语言：
简介
JSON Web Token 弱密钥描述
可以对 JSON Web Token 签名以防止数据篡改。应用程序会使用非对称或对称签名算法，计算将在标记解码期间验证的标记数据的签名，以确保其完整性。使用对称算法时，系统会通过所选的 HMAC 函数连同密钥创建签名。使用弱密钥使其容易受到暴力破解攻击，允许标记被代表应用程序操纵和签名。根据标记的使用情况，攻击者可利用此漏洞伪造有效的标记并冒充其他用户，或获取进一步的权限。
解决方案
用于签署应用程序中 JSON Web Token 的密钥必须更强（较长且随机），以防止通过暴力破解攻击对其进行检索。请注意，JSON Web 算法标准 (RFC 7518) 定义的最小密钥长度等于 HMAC 算法所使用哈希函数的大小（以位为单位）。另见
https://cheatsheetseries.owasp.org/cheatsheets/JSON_Web_Token_for_Java_Cheat_Sheet.html
https://medium.com/101-writeups/hacking-json-web-token-jwt-233fe6c862e6
https://medium.com/swlh/hacking-json-web-tokens-jwts-9122efe91e4a
插件详情
严重性: High
ID: 112697
类型: remote
系列: Web Applications
发布时间: 2021/2/11
最近更新时间: 2024/1/3
扫描模板: api, basic, full, pci, scan
风险信息
VPR
风险因素: Low
分数: 3.6
CVSS v2
风险因素: High
基本分数: 7.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:N
CVSS 分数来源: Tenable
CVSS v3
风险因素: High
基本分数: 7.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
CVSS 分数来源: Tenable