JWT（JSONWebToken）是一种常用于身份认证和信息传输的安全令牌，但如果没有正确配置或使用不安全的签名算法，可能会导致严重的安全问题。同时，在渗透测试中，许多网站都会使用CDN（内容分发网络）来隐藏真实IP地址，以防止直接攻击源服务器。使用BurpSuite，我们不仅可以检测JWT令牌的安全性，还可以通过多种方法绕过CDN，获取目标网站的真实IP地址。本文将详细介绍BurpSuite怎么审计JWT令牌安全BurpSuite怎么绕过CDN获取真实IP，帮助安全测试人员更高效地进行Web安全测试。

　　一、BurpSuite怎么审计JWT令牌安全

　　JWT的安全性取决于签名算法、密钥管理和令牌的生命周期。如果配置不当，可能会导致伪造身份、数据泄露等风险。BurpSuite提供了多种方法来检测JWT令牌的安全性，包括分析签名算法、暴力破解密钥、令牌重放攻击等。

　　1.分析JWT结构

　　JWT通常由三个部分组成：

　　`header.payload.signature`

　　例如：

　　eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyIjoiYWRtaW4iLCJleHAiOjE2NjUwNDAwMDB9.GfLcOV1j1FIOOQyLs6qFczxJ6YkhTzjBFrL7OexLz9M

　　可以使用BurpSuite的Decoder模块进行Base64解码：

　　Header部分：包含签名算法，如`HS256`、`RS256`等。

　　Payload部分：包含用户身份信息、过期时间（exp）等。

　　Signature部分：用于验证JWT的完整性。

　　2.检查不安全的签名算法

　　JWT的安全性很大程度上取决于签名算法。如果Header部分的`alg`字段为：

　　`none`：意味着JWT没有签名，攻击者可以直接修改Token并伪造身份。

　　`HS256`（对称加密）但服务器错误地使用了可预测的密钥。

　　`RS256`（非对称加密）但服务器接受攻击者提供的公钥。

　　可以使用BurpSuite的Repeater模块修改JWT：

　　1.将`"alg":"HS256"`修改为`"alg":"none"`并删除签名部分，发送修改后的Token，看服务器是否接受。

　　2.将`"alg":"RS256"`修改为`"alg":"HS256"`，尝试用已知密钥伪造签名。

　　3.进行JWT密钥爆破

　　如果服务器使用`HS256`等对称加密方式签名JWT，可以使用BurpSuite的Intruder进行密钥爆破：

　　1.捕获JWT请求，将签名部分替换为`Fuzz`变量。

　　2.使用常见密钥字典（如`secret`、`password`、`admin`等）进行爆破。

　　3.如果能够成功生成有效JWT，则表明服务器使用了弱密钥。

　　可以使用JWT工具（如JWTEditor插件）直接在BurpSuite中修改和测试JWT。

　　4.JWT令牌重放攻击

　　JWT通常用于身份认证，但如果令牌没有设置适当的生命周期，攻击者可能会重复使用过期或泄露的JWT：

　　在BurpSuite的Repeater模块中尝试多次发送相同的JWT，观察服务器是否接受。

　　如果服务器未验证JWT的`exp`（过期时间），可能会导致攻击者长期保持访问权限。

　　5.检查JWT是否支持令牌撤销

　　JWT通常是无状态的，这意味着服务器默认不会存储JWT的撤销状态。如果没有实现令牌黑名单机制，即使用户注销或令牌过期，攻击者仍然可以使用该JWT访问系统。可以测试：

　　让用户注销，然后尝试使用之前的JWT访问受保护的资源。

　　如果服务器仍然接受旧的JWT，则表明JWT撤销机制存在问题。

　　二、BurpSuite怎么绕过CDN获取真实IP

　　CDN（内容分发网络）通过代理服务器隐藏真实服务器的IP地址，增加网站的安全性。然而，在渗透测试中，我们可能需要绕过CDN，以便直接对源服务器进行测试。BurpSuite可以结合多种方法来获取目标网站的真实IP地址。

　　1.使用BurpSuite进行子域名扫描

　　一些CDN保护的站点可能会暴露未经过CDN代理的子域名。可以使用BurpSuite的Target模块扫描目标域名：

　　1.在“Target”选项卡中，启用BurpSuite的被动扫描功能。

　　2.访问目标网站，BurpSuite会自动记录所有涉及的域名。

　　3.重点关注API子域、邮件服务器（如`mail.example.com`）、FTP服务器等，这些子域可能直接解析到真实IP。

　　2.通过历史DNS记录查找真实IP

　　CDN通常只是代理服务器，目标站点的真实IP可能曾经直接解析过。可以使用以下方法：

　　访问SecurityTrails（https://securitytrails.com）或DNSDumpster（https://dnsdumpster.com）查询目标域名的历史DNS解析记录。

　　在BurpSuite中，结合DNS解析插件自动查询历史IP地址。

　　3.检测网站的电子邮件服务器（MX记录）

　　CDN通常只保护Web流量，而电子邮件服务器（MX记录）可能直接解析到源服务器：

　　使用BurpSuite的Target模块拦截HTTP头，查找`Received`字段，可能会泄露真实IP。

　　使用命令行工具`nslookup`或`dig`查询目标网站的MX记录：

　　nslookuptype=mxexample.com

　　digmxexample.com

　　然后对MX记录进行反向查询，看看是否能获取源服务器的IP。

　　4.发送请求获取泄露的HTTP头信息

　　某些CDN配置不当的网站可能会在HTTP响应头中泄露真实IP地址。使用BurpSuite的Repeater模块手动发送请求，检查返回的头信息：

　　`XOriginatingIP`

　　`XForwardedFor`

　　`XRealIP`

　　`Via`

　　`Received`

　　如果服务器未正确配置CDN，可能会返回真实IP。

　　5.利用WAF/CDN错误信息泄露真实IP

　　某些CDN/WAF在错误处理时可能会暴露真实IP：

　　访问`http://example.com/.git/HEAD`或其他敏感文件，如果返回“403Forbidden”，检查响应头是否包含真实IP。

　　发送畸形请求，例如：

　　GET/HTTP/1.1

　　Host:example.com

　　XForwardedFor:127.0.0.1

　　观察返回的错误信息。

　　6.通过第三方服务查询目标真实IP

　　可以使用在线IP解析工具，如：

　　Shodan（https://www.shodan.io）

　　Censys（https://censys.io）

　　WhatCMS（https://whatcms.org）

　　查询目标域名可能泄露的真实IP地址。

　　总结来说，BurpSuite可以用于JWT安全审计，包括检查不安全的签名算法、爆破JWT密钥、测试令牌重放等。而在绕过CDN获取真实IP方面，可以结合子域名扫描、历史DNS解析、HTTP头信息泄露等方法，提高攻击的成功率。这些技术可以帮助安全研究人员更高效地进行渗透测试，提高Web安全性。