JWT 没验 Signature？登录白做了

原创

pippybear
pippybear

安全无界

2026年6月29日 20:30
上海

在小说阅读器读本章

去阅读

声明：请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

这是挺久之前的一次授权小程序测试，分享也是因为漏洞点确实挺有意思（不过横竖想来还是那句话，一切的一切都是开发大佬在赏饭），话不多说直接开始正文。

小程序直接使用微信快捷登录即可（再也不受没有账号的气了，这里简单的看了一下并没有直接传输sessionkey，反编译小程序也没有看到硬编码的secret，这条过），进入之后功能如下，很传统的一个揉杂应用，功能还挺多的。

不过本文的重点，并非其他的功能测试上面，而是在凭证上面，所以其他的测试就不再本文赘述。

可以看到如下数据报，乍一看，都会直接忽略，不过有些时候还是可以尝试一下这个JWT认证是否真的进行了完整校验（大部分情况下JWT密钥设计的还是没有那么容易爆破，而且公开的JWT缺陷也基本都是封堵的）。

这种类似的情况虽然不多，但是小编也大大小小遇到过不少次，并没有复杂的操作，只需要简单的删除一下signature部分，看数据报是否还正常响应（即可能开发老哥并没有校验完整性，只是取payload部分做了认证），如下。

这样即可直接篡改payload部分认证元素实现任意账号登录，如下，大家测试的时候不妨也试试，说不定有奇效。