JWT密钥爆破浅析 - 爆破失败就是失败了么

上一篇文章中团队师傅Tai分享了一篇JWT伪造的技术文字，讲述了爆破JWT成功并伪造JWT获取网站权限的过程。师傅在分享文章时还指出了JJWT的概念，即Java中的一个JWT工具库，旨在Java中生成和验证JSON Web Tokens (JWT)。

根据另一篇文章中师傅的发现：

https://mp.weixin.qq.com/s/ntVi1vdWzEPHpQ4k-45Cjg

JJWT库生成JWT时，密钥会取4的倍数，即使使用正确的完整密钥去解密，也是会报错的。这里我用JJWT生成的JWT，用字典去解密，正常情况下无法解出

JWT signature does notmatch locally computed signature. JWT validity cannot be asserted and should not be trusted

// 创建一个适合 HS512 的密钥SecretKey signingKey = Keys.hmacShaKeyFor(keyBytes);

每个初学挖洞的小白都有一个美梦：是否可以在我学习挖洞技能的时候，有位师傅手把手指导，不仅教会我各种技术，还能带着我一起接项目挣钱，让我的技能和钱包同时“升级打怪”。

    还真别说，现在这个天降大饼的美梦来了！FreeBuf知识大陆帮会《安全渗透感知大家族》，正好为你提供了这样的机会。在这里，你既能学到知识，又能做项目赚钱，还能在项目实践过程中与大佬们交流思路、夯实基础。

该SRC漏洞挖掘出洞课程，是由团队内部师傅根据实际挖洞经历整合的适合挖掘漏洞但是缺乏思路、刚接触学习漏洞挖掘不出漏洞的师傅们的漏洞挖掘教程。

第一期课程价格199，这价格还要什么自行车？课程正在持续更新中~

致远A8，又称致远互联A8协同管理软件，是面向中型、大型、集团型组织（集团版OA）的数字化协同运营中台。A8版本的系统小版本较多，本次分析用的是致远A8 V7 SP1版本源码。

原文始发于微信公众号（Code4th安全团队）：JWT密钥爆破浅析 - 爆破失败就是失败了么