有趣的JWT认证

声明：请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

这是之前一个小程序的授权测试，客户目的不多，就是想看看他们系统的安全状况，这还说啥，必须安排，话不多说，直接上正文。

使用手机号登录小程序，如下。

对小程序的功能来了一波地毯式的越权测试，发现无果，然后看了看积分是否有条件竞争等逻辑缺陷漏洞，发现依旧无果。完了，难道要掏出祖传的漏洞了嘛。

正在我准备写完祖传漏洞，备注系统很安全时，发现这里还有一个JWT认证还没有测试，本来是不报希望的，毕竟测试过这么多次，就没有哪一次成功过。

不管了，高低也给瞅上一眼。直接删除掉最后面的加密部分，修改中间的认证部分数据，然后准备修改加密算法头的时候，不小心点了一下发包，呃.....居然成功获取到其他用户信息了。

好家伙，这认证逻辑被你用的明明白白，玩呢，得亏小哥我瞅了一眼，不然真的要祭出祖传漏洞啦，使用burp遍历用户如下。

赶紧写完漏洞，愉快交付。

原文始发于微信公众号（安全无界）：有趣的JWT认证