https://blog.qife122.com/tags/x509%E8%AF%81%E4%B9%A6/ Recent content in X509证书 on 办公AI智能小助手 Hugo zh-cn qife Fri, 19 Sep 2025 01:39:09 +0800 https://blog.qife122.com/p/%E5%88%A9%E7%94%A8x509%E8%AF%81%E4%B9%A6%E6%94%BB%E5%87%BBjwt%E5%AE%9E%E6%88%98%E6%8C%87%E5%8D%97%E4%B8%8Eburp%E6%89%A9%E5%B1%95%E5%B7%A5%E5%85%B7/ Fri, 19 Sep 2025 01:39:09 +0800 https://blog.qife122.com/p/%E5%88%A9%E7%94%A8x509%E8%AF%81%E4%B9%A6%E6%94%BB%E5%87%BBjwt%E5%AE%9E%E6%88%98%E6%8C%87%E5%8D%97%E4%B8%8Eburp%E6%89%A9%E5%B1%95%E5%B7%A5%E5%85%B7/ <h1 id="攻击jwt使用x509证书">攻击JWT使用X509证书</h1> <p>在整理先前博客资料时，我注意到一个有趣的JSON Web签名（JWS）头部参数，并希望深入探究。RFC 7515第4.1节列出了已注册的头部参数，其中x5u和x5c头部引起了我的关注。这些头部利用X.509证书，并定义了存储公钥以验证JWS完整性的位置。</p> https://blog.qife122.com/p/%E5%88%A9%E7%94%A8x509%E8%AF%81%E4%B9%A6%E6%94%BB%E5%87%BBjwt%E5%AE%9E%E6%88%98%E6%BC%94%E7%BB%83%E4%B8%8Eburp%E6%89%A9%E5%B1%95%E5%B7%A5%E5%85%B7/ Fri, 12 Sep 2025 15:23:54 +0800 https://blog.qife122.com/p/%E5%88%A9%E7%94%A8x509%E8%AF%81%E4%B9%A6%E6%94%BB%E5%87%BBjwt%E5%AE%9E%E6%88%98%E6%BC%94%E7%BB%83%E4%B8%8Eburp%E6%89%A9%E5%B1%95%E5%B7%A5%E5%85%B7/ <h1 id="攻击jwt使用x509证书">攻击JWT使用X509证书</h1> <h2 id="11-设置">1.1 设置</h2> <p>为了开始此攻击，我们需要一个易受攻击的应用程序进行测试。我为此在Flask中创建了一个易受攻击的API。</p> <p><a href="https://github.com/Tsynack/JWT_X509_Re-Signer/tree/main/Example%20API">https://github.com/Tsynack/JWT_X509_Re-Signer/tree/main/Example%20API</a></p> <p><strong>图1 - 运行示例API</strong></p>