如何在网上卖产品,网站超链接的优化,中国设计网站排名,奉化网站关键词优化费用文章目录 理论知识cookie(放在浏览器)session(放在 服务器)tokenjwt#xff08;json web token#xff09;headerpayloadSignatureJWT通信流程 JWT与Token 区别相同点区别 WebGoat靶场--JWT tokens环境启动第四关第五关第七关 属于越权漏洞 理论知识
cookie(放在浏览器)
… 文章目录 理论知识cookie(放在浏览器)session(放在 服务器)tokenjwtjson web tokenheaderpayloadSignatureJWT通信流程 JWT与Token 区别相同点区别 WebGoat靶场--JWT tokens环境启动第四关第五关第七关 属于越权漏洞 理论知识
cookie(放在浏览器)
cookie 是一个非常具体的东西指的就是浏览器里面能永久存储的一种数据仅仅是浏 览器实现的一种数据存储功能。
cookie 由服务器生成发送给浏览器浏览器把 cookie 以 kv 形式保存到某个目录下的 文本文件内下一次请求同一网站时会把该 cookie 发送给服务器。由于 cookie 是存在客户 端上的所以浏览器加入了一些限制确保 cookie 不会被恶意使用同时不会占据太多磁盘空 间所以每个域的 cookie 数量是有限的
session(放在 服务器)
session 从字面上讲就是会话。这个就类似于你和一个人交谈你怎么知道当前和你交 谈的是张三而不是李四呢对方肯定有某种特征长相等表明他就是张三。
session 也是类似的道理服务器要知道当前发请求给自己的是谁。为了做这种区分服 务器就要给每个客户端分配不同的“身份标识”然后客户端每次向服务器发请求的时候都 带上这个“身份标识”服务器就知道这个请求来自于谁了。至于客户端怎么保存这个“身份 标识”可以有很多种方式对于浏览器客户端大家都默认采用 cookie 的方式。
服务器使用 session 把用户的信息临时保存在了服务器上用户离开网站后 session 会被 销毁。这种用户信息存储方式相对 cookie 来说更安全可是 session 有一个缺陷如果 web 服务器做了负载均衡那么下一个操作请求到了另一台服务器的时候 session 会丢失。
token
Token是用户进行一些权限操作时的许可凭证。token本质是字符串里面包含了用户信息过期时间加密方式等。token是在前端进行登录之后由服务器分发给前端然后前端进行权限操作时再将token发送给服务器由服务器来验证。token是有过期时间的一但token过期用户就要重新登陆让服务器生成新的token。
在 Web 领域基于 Token 的身份验证随处可见。在大多数使用 Web API 的互联网公司中 tokens 是多用户下处理认证的最佳方式。
以下几点特性会让你在程序中使用基于 Token 的身份验证
无状态、可扩展支持移动设备跨程序调用安全
jwtjson web token
一个 JWT 实际上就是一个字符串它由三部分组成
头部(head)负载(payload)签名(Signature) 前两部分需要经过 Base64 编码后一部分通过前两部分Base64编码后再加密而成
header
头部通常由两部分组成算法类型和令牌类型。
算法类型指定用于生成签名的算法例如 HMAC、RSA 或者 ECDSA。令牌类型指定令牌的类型常见的是 JWT。
头部使用 Base64URL 编码表示并作为整个 JWT 的第一部分。头部的一个示例
{alg: HS256,typ: JWT
}alg:是说明这个 JWT 的签名使用的算法的参数常见值用 HS256默认HS512 等也可以为
None。HS256 表示 HMAC SHA256。
typ:说明这个 token 的类型为 JW算法类型也可以是 none表示不加密不加密的话签名就没用了但是最后那个 点 必须要有payload
载荷存储了有关用户或实体的声明和其他有关信息
声明如用户 ID、角色、权限等信息注册声明包含一些标准的声明比如发行人、过期时间等和一些自定义的 声明
载荷也使用 Base64URL编码表示并作为整个 JWT 的第二部分。载荷的一个示例
{sub: 1234567890,name: John Doe,iat: 1516239022
}Signature
签名是拿到被base64编码的头部和负载后用标头里的加密算法对拿到的标头和负载进行加密然后作为jwt的第三部分。签名是用来验证标头和负载中的信息有没有被篡改。如果标头和负载的信息被篡改则这个jwt是失效的。反之验证通过 ----------------用于验证 JWT 的完整 性和真实性
服务器有一个不会发送给客户端的密码secret用头部中指定的算法对头部和声明的内容用 此密码进行加密生成的字符串就是 JWT 的签名
签名生成方式将头部和载荷进行 Base64URL 编码后拼接在一起然后使 用指定的加密算法如 HMAC、RSA进行签名将生成的签名添加到JWT中
JWT通信流程 JWT与Token 区别
相同点
都是访问资源的令牌都可以记录用户的信息都是使服务端无状态变化都是验证成功后客户端才能访问服务端上受保护的资源
区别
Token: 服务端验证客户端发送过来的Token 时还需要查询数据库获取用户信息然后验证Token 是否有效JWT: 将token 和 Payload 加密后存储于客户端服务端只需要使用秘钥进行校验即可不需要查询或者减少查询数据库因为JWT自包含了用户信息和加密的数据
WebGoat靶场–JWT tokens
环境启动
启动WebGoat靶场
java -jar webgoat-server-8.0.0.M17.jar --server.port8888 --
server.address192.168.8.8访问WebGoat靶场
127.0.0.1:8888/WebGoat 注册一个用户 第四关
通过目标以管理员的身份清楚普通用户的投票数 点击删除投票的按钮 BurpSuite拦截数据包并观察数据包 访问jwt.io网站粘贴进去 可以看出使用的加密算法为HS512
Payloadadmin为falseuser不是admin而是Tom
选中Payload 来到base64这个网站,admin修改为true 再把JWT头部的算法类型改为none如果改为了none后面的签名就没有意义了
签名的意义就是为了加密算法是否正确内容是否正确现在不用加密了所以最后一个.后面的签名部分就不要了 刷新页面 成功重置
第五关
修改 exp 有效时间 修改username为 WebGoat 爆破秘钥 hashcat -m 16500 jwt.txt -a 3 -w 3 1.txt-m 16500 这里的 16500 对应的就是 jwt 的 token 爆破
-a 3 代表蛮力破解
-w 3 可以理解为高速破解就是会让桌面进程无响应的那种高速
jwt.txt 是我把题目要求破解的 token 保存到的文件
pass.txt 密码字典得出密钥是victory 第七关
通过目标冒充tom用户让tom帮我们付钱
BurpSuite拦截数据包并观察数据包 并不是说一定要把JWT放到Cookie字段里
靶场提供了一个JWT 点击here跳转链接 修改Payload的过期时间和头部的算法类型
unix时间互换
