GraphQL Cop:一款针对GraphQL API的安全审计工具

2024-11-27 23 0

关于GraphQL Cop

GraphQL Cop是一个小型 Python 实用程序,用于针对 GraphQL API 运行常见的安全测试。GraphQL Cop非常适合在 GraphQL 中运行 CI/CD 检查。

GraphQL Cop是一个轻量级工具,并且涵盖了GraphQL中有趣的安全问题。

值得一提的是,GraphQL Cop允许广大研究人员通过在任何已发现的漏洞上提供cURL命令来重现调查结果。

功能介绍

当前版本的GraphQL Cop支持执行下列检测:

1、别名过载(DoS);

2、批量查询(DoS);

3、基于 GET 的查询(CSRF);

4、使用 urlencoded 负载的 POST 查询(CSRF);

5、GraphQL 跟踪/调试模式(信息泄漏);

6、字段重复(DoS);

7、字段建议(信息泄露);

8、GraphiQL(信息泄露);

9、自省(信息泄露);

10、指令重载(DoS);

11、使用内省(DoS)的循环查询;

12、通过 GET 方法支持变异(CSRF);

工具要求

requests==2.25.1

simplejson==3.17.6

termcolor==2.2.0

PySocks==1.7.1

工具安装

由于该工具基于Python 3开发,因此我们首先需要在本地设备上安装并配置好最新版本的Python 3环境。

接下来,广大研究人员可以直接使用下列命令将该项目源码克隆至本地:

git clone https://github.com/dolevf/graphql-cop.git

然后切换到项目目录中,使用下列命令在指定的目录中创建一个虚拟环境,然后激活虚拟环境,并安装requirements.txt 中列出的所有 Python 包:

cd graphql-cop

python3 -m venv path/to/venv

source path/to/venv/bin/activate

python3 -m pip install -r requirements.txt

工具使用

$ python graphql-cop.py -h

 

Usage: graphql-cop.py -t http://example.com -o json

 

Options:

  -h, --help            显示此帮助消息并退出

  -t URL, --target=URL   目标URL地址,如果没有提供GraphQL路径,GraphQL Cop将迭代一系列常见GraphQL路径

  -H HEADER, --header=HEADER     将Header(s) 添加到请求中

  -o FORMAT, --output=FORMAT      输出json格式

  -f, --force             在无法检测到GraphQL时强制扫描

  -d, --debug          为调试添加一个带有测试名称的Header

  -x PROXY, --proxy=PROXY   HTTP(S)代理URL,格式为http://user:pass@host:port

  -v, --version         打印工具当前版本

  -T, --tor            启用Tor代理

工具运行演示

测试网站:

$ python3 graphql-cop.py -t https://mywebsite.com/graphql

 

                GraphQL Cop 1.1

           Security Auditor for GraphQL

            Dolev Farhi & Nick Aleks

 

Starting...

[HIGH] Introspection Query Enabled (Information Leakage)

[LOW] GraphQL Playground UI (Information Leakage)

[HIGH] Alias Overloading with 100+ aliases is allowed (Denial of Service)

[HIGH] Queries are allowed with 1000+ of the same repeated field (Denial of Service)

测试网站,转储为可解析的 JSON 输出,cURL 复现命令:

python3 graphql-cop.py -t https://mywebsite.com/graphql -o json

 

 {'curl_verify': 'curl -X POST -H "User-Agent: graphql-cop/1.2" -H '

                 '"Accept-Encoding: gzip, deflate" -H "Accept: */*" -H '

                 '"Connection: keep-alive" -H "Content-Length: 33" -H '

                 '"Content-Type: application/json" -d \'{"query": "query { '

                 '__typename }"}\' \'http://localhost:5013/graphql\'',

  'description': 'Tracing is Enabled',

  'impact': 'Information Leakage',

  'result': False,

  'severity': 'INFO',

  'color': 'green',

  'title': 'Trace Mode'},

 {'curl_verify': 'curl -X POST -H "User-Agent: graphql-cop/1.2" -H '

                 '"Accept-Encoding: gzip, deflate" -H "Accept: */*" -H '

                 '"Connection: keep-alive" -H "Content-Length: 64" -H '

                 '"Content-Type: application/json" -d \'{"query": "query { '

                 '__typename @aa@aa@aa@aa@aa@aa@aa@aa@aa@aa }"}\' '

                 "'http://localhost:5013/graphql'",

  'description': 'Multiple duplicated directives allowed in a query',

  'impact': 'Denial of Service',

  'result': True,

  'severity': 'HIGH',

  'color': 'red',

  'title': 'Directive Overloading'}]

graphql-cop通过代理(例如,监听 127.0.0.1:8080 的 Burp Suite)和自定义标头(例如,授权)测试网站:

$ python3 graphql-cop.py -t https://mywebsite.com/graphql --proxy=http://127.0.0.1:8080 --header '{"Authorization": "Bearer token_here"}'

 

                GraphQL Cop 1.2

           Security Auditor for GraphQL

            Dolev Farhi & Nick Aleks

 

Starting...

[HIGH] Introspection Query Enabled (Information Leakage)

[LOW] GraphQL Playground UI (Information Leakage)

[HIGH] Alias Overloading with 100+ aliases is allowed (Denial of Service)

[HIGH] Queries are allowed with 1000+ of the same repeated field (Denial of Service)

许可证协议

本项目的开发与发布遵循MIT开源许可协议。

项目地址

GraphQL Cop:【GitHub传送门


4A评测 - 免责申明

本站提供的一切软件、教程和内容信息仅限用于学习和研究目的。

不得将上述内容用于商业或者非法用途,否则一切后果请用户自负。

本站信息来自网络,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑或手机中彻底删除上述内容。

如果您喜欢该程序,请支持正版,购买注册,得到更好的正版服务。如有侵权请邮件与我们联系处理。敬请谅解!

程序来源网络,不确保不包含木马病毒等危险内容,请在确保安全的情况下或使用虚拟机使用。

侵权违规投诉邮箱:4ablog168#gmail.com(#换成@)

相关文章

FSMON:一款多平台文件系统安全监控工具
浅谈一次edusrc | 文件上传成功getshell
MORF:一款轻量级移动端网络安全侦查框架
TrailShark:一款AWS CloudTrail日志实时分析工具
反向 Debug 了解一下?揭秘 Java DEBUG 的基本原理
DICOMHawk:用于检测和记录未经授权访问尝试的蜜罐系统

发布评论