Webcast: Modern Webapp Pentesting: How to Attack a JWT
关于测试Web应用安全问题的许多信息已经过时。别误会，旧方法仍然经常有效（有效得令人不安），但Web应用漏洞远不止跨站脚本和SQL注入。
以JWT（JSON Web Tokens）为例——这些经过base64编码的令牌有时会被写入浏览器的localStorage或sessionStorage，并通过cookie或HTTP标头传递。它们在Web API的认证和授权逻辑中非常常见。
由于经过编码，它们看起来像乱码，在测试中很容易被忽略。正因如此，攻击它们也更为复杂：首先需要识别它们，然后进行解码，接着解读解码后的数据，再决定攻击点，最后还需构造有效JSON格式的载荷并重组JWT才能发送。
流程相当繁琐。
在本Black Hills信息安全网络研讨会（摘自主讲人即将推出的16小时现代Web应用渗透测试课程）中，BB King将探讨：
- JSON Web Tokens的本质及其争议性
- 主要安全弱点的测试方法
- 以OWASP Juice Shop为目标演示可直接用于下次渗透测试的 exploitation 技术
时间轴亮点：
0:00 – 开场
1:50 – JWT核心概念
4:43 – Base64与Base64 URL编码差异
7:58 – JSON令牌结构解析
10:07 – 实际应用场景
13:26 – "编码而非加密"关键特性
19:58 – 安全警报提示
20:39 – OWASP十大相关漏洞
21:01 – 签名算法深度分析
25:31 – 隐私立场探讨
28:56 – 破解实战
34:58 – 载荷解码演示
45:57 – 密钥窃取技术
53:34 – 进阶学习资源
附：课程提供实时/点播两种模式，包含完整16小时深度培训内容。
研讨会幻灯片获取地址：https://www.blackhillsinfosec.com/wp-content/uploads/2020/09/SLIDES_WebApp_PenTesting_AttackingJWTs.pdf
加入Discord技术社区：https://discord.gg/aHHh3u5
更多精彩内容 请关注我的个人公众号 公众号（办公AI智能小助手）
公众号二维码
