Portswigger
  • Portswigger
  • Server-Side Request Forgery
    • Server-Side Request Forgery (SSRF)
  • SSRF with filter bypass via open redirection vulnerability
  • Blind SSRF with out-of-band detection
  • Cross-Site Scripting
    • Cross-Site Scripting (XSS)
  • Reflected XSS into a JS string with angle brackets and double&single quotes HTML-encoded escape
  • XSS into a template literal w/ angle brackets, single, double quotes, backslash & backticks Escaped
  • Authentication
    • Authentication
  • Username enumeration via subtly different responses
  • 2FA broken logic
  • Username enumeration via response timing
  • Username enumeration via account lock
  • Password reset poisoning via middleware
  • Path Traversal
    • Path Traversal
  • File path traversal, traversal sequences stripped with superfluous URL-decode
  • File path traversal, traversal sequences blocked with absolute path bypass
  • Business Logic Vulnerabilities
    • Business Logic Vulnerabilities
  • Insufficient workflow validation
  • Inconsistent handling of exceptional input
  • Server-Side Template Injection
    • Server-Side Template Injection
  • Basic server-side template injection
  • Basic server-side template injection (code context)
  • SQL Injection
    • SQL Injection
    • Blind SQL injection with conditional responses
  • SQL injection UNION attack, retrieving data from other tables
  • SQL injection attack, listing the database contents on non-Oracle databases
  • API Testing
    • API Testing
  • Exploiting an API endpoint using documentation
  • Exploiting a mass assignment vulnerability
  • Finding and exploiting an unused API endpoint
  • JWT ATTACK
    • JWT Attack
    • JWT authentication bypass via unverified signature
  • JWT authentication bypass via jku header injection
  • JWT authentication bypass via flawed signature verification
  • HTTP HOST HEADER ATTACKS
    • HTTP Host header attacks
  • Basic password reset poisoning
  • Host header authentication bypass
  • No SQL Injection
    • NoSQL Injection
  • Detecting NoSQL injection
  • Exploiting NoSQL operator injection to bypass authentication
  • Exploiting NoSQL injection to extract data
  • FILE UPLOAD VULNERABILITIES
    • File Upload Vulnerabilities
  • Web shell upload via obfuscated file extension
  • OAuth Authentication
    • OAuth Authentication
  • OAuth account hijacking via redirect_uri
  • ACCESS CONTROL VULNERABILITIES
    • Access Control Vulnerabilities
  • User ID controlled by request parameter with data leakage in redirect
  • User ID controlled by request parameter with password disclosure
  • User role controlled by request parameter
  • User role can be modified in user profile
  • URL-based access control can be circumvented
  • INFORMATION DISCLOSURE VULNERABILITIES
    • Information Disclosure Vulnerabilities
  • Information disclosure in version control history
  • XML external entity injection
    • XML External Entity (XXE) Injection
  • Exploiting XXE using external entities to retrieve files
  • Exploiting blind XXE to retrieve data via error messages
  • Blind XXE with out-of-band interaction
  • Blind XXE with out-of-band interaction via XML parameter entities
  • OS COMMAND INJECTION
    • OS Command Injection
  • Blind OS command injection with out-of-band data exfiltration
  • PROTOTYPE POLLUTION
    • Prototype Pollution
  • Privilege escalation via server-side prototype pollution
  • WEB CACHE POISONING
    • Web Cache Poisoning
  • Web cache poisoning via an unkeyed query parameter
Powered by GitBook
On this page

JWT authentication bypass via jku header injection

Link: https://portswigger.net/web-security/jwt/lab-jwt-authentication-bypass-via-jku-header-injection

PreviousJWT authentication bypass via unverified signatureNextJWT authentication bypass via flawed signature verification

Last updated 3 months ago

Description:

This lab uses a JWT-based mechanism for handling sessions. The server supports the jku parameter in the JWT header. However, it fails to check whether the provided URL belongs to a trusted domain before fetching the key.

To solve the lab, forge a JWT that gives you access to the admin panel at /admin, then delete the user carlos.

You can log in to your own account using the following credentials: wiener:peter

Preparation:

  • Install JWT Editor extension on Burp Suite

  • Install Cookie Editor extension on Browser

Proof of concept:

  1. Lakukan analisa pada web target dengan menggunakan akun testing

  2. Seperti informasi yang didapati pada deskripsi lab, terdapat informasi bahwa goals dari lab ini adalah dapat mengakses /admin. Namun ketika diakses menggunakan akun testing, tidak dapat mengakses halaman tersebut

  3. Dari hasil analisa, pada header request setelah melakukan login terdapat session dengan bentuk JWT

  4. Buka extension JWT Editor yang sebelumnya telah diinstal. Lalu lakukan pembuatan RSA Key baru

  5. Lalu Copy Public key as JWK. Jika sudah, buka exploit server lalu tambahkan JSON seperti dibawah ini. { "keys":[ ] }

  6. Jika sudah, tambahkan Public key as JWK yang sebelumnya telah di copy ke dalam JSON key tersebut, jika sudah lakukan store pada exploit server tersebut

  7. Selanjutnya, kirim request yang sebelumnya telah dilakukan untuk mengakses halaman /admin ke burp suite repeater. Lalu buka tab JSON Web Token

  8. Selanjutnya, pada header terdapat parameter kid. Ubah nilai pada parameter kid tersebut menjadi nilai parameter kid yang sebelumnya didapati saat melakukan Copy Public Key as JWK atau dapat mendapatkan nilai kid tersebut pada exploit server. Jika sudah, pada header tambahkan parameter jku dengan nilai yaitu URL exploit server. dan yang terakhir pada payload terdapat parameter sub yang sebelumnya bernilai wiener ubah menjadi administrator

  9. Jika sudah, lakukan sign dengan Header Options Don’t modify header dan kirim request ulang pada repeater maka yang sebelumnya tidak memiliki otorisasi untuk mengakses halaman /admin menjadi dapat mengakses halaman tersebut dengan ditandai response code HTTP 200 OK

  10. Lalu untuk menyelesaikan lab ini diharuskan untuk melakukan penghapusan user carlos. Copy session JWT yang telah terbaru (yang administrator) paste pada extension Cookie Editor untuk menggantikan session yang sebelumnya

  11. Maka UI halaman admin sudah dapat diakses

  12. Lakukan penghapusan user carlos untuk menyelesaikan tangtangan lab ini

Thanks, Stay Ethical & Happy Hacking! 🍻