【技术干货】GraphQL API渗透测试指南

然后利用voyager工具将查询结果可视化。

获取数据结构以便进一步利用。

• 批量查询

GraphQL支持请求批处理，并且会对请求一个一个处理，这就导致可以利用批量查询来实施Dos攻击。

示例：

请求body：{"query":"query {n systemUpdaten}","variables":[]}, {"query": "query {n systemUpdaten}","variables":[]}, {"query":"query {n systemUpdaten}","variables":[]}

• 深度递归查询

当查询类型相互引用时，通过构建一个循环查询，来实现Dos攻击。

query {   Pastes {     Owner {       Pastes {         Owner {           Pastes {   Owner             {               Pastes {                 Owner {                   Pastes {                     Owner {                       Pastes {                         Owner {                           name                         }                       }                     }                   } } }                 }               }             }           }         }       }     }

随着查询呈指数级增长，最终导致服务器崩溃。

• 字段重复查询

由于GraphQL API不会对重读字段进行去重处理，所以还可以通过查询重复字段进行Dos攻击。

query {  pastes {    owner {      pastes {            ipAddr # 1            ipAddr # 2            ipAddr # 3            ipAddr # 4            ......            ipAddr # 1000          }        }      }}

通过内审查询获取到相关信息后，可以进一步利用，GraphQL API作为单路由API接口在查询过程中往往会忽略一些鉴权问题，这可能导致越权漏洞的出现，并且泄露敏感信息。

例如在查询到存在id参数。

通过修改id参数进行水平越权，获取想要的敏感信息。

由于GraphQL API没有充分验证输入或者没有严格过滤，导致在一些查询中可以通过链接的形式拼接 UNIX 命令，达到命令执行的目的。

或者是通过systemDiagnostics接受某些 UNIX 二进制文件作为调试目的的参数，例如 whoami、ps等，在获取相关凭证或者权限之后，可以进行拼接来达到命令执行的目的。

GraphQL API同样会可能存在SQL注入漏洞，可以对查询结构体中的一些参数进行SQL注入尝试。

这里对“test”参数进行SQL注入尝试。

加上单引号后返回报错信息。

后续直接利用sqlmap进行后续操作。

类似于SQL注入拼接字符串，在GraphQL API进行相关查询时，可以通过拼接的方式进行注入来获取数据或者改变查询逻辑。

正常查询：

mutation {  create(content: "test", id: 1) {      name      password      title   }}

graphql注入：

mutation {  editPaste(content: "test", id: 1) {      name      title    }     changePassword(password: "admin123") {      name      password      title   }}

GraphQL API同样也会遭受xss攻击，其实针对任何存在系统而言，如果没有相应的防御手段，没有对输入性参数进行过滤都可能遭受一些输入型漏洞攻击。

攻击载荷成功解析，此外也可以利用上传功能上传HTML脚本进行攻击测试。

如果在GraphQL相关查询操作允许本地主机或其他服务器不限制输入，就可能遭受服务端请求伪造攻击

漏洞案例：

在GrapQL API中如果存在相关恶意输入保护机制，可以利用修改请求头参数进行绕过。

例如下面使用IDE时，进行命令执行时，存在保护机制。

发现Cookie中存在明显的disable字段。

修改disable为enable。

成功绕过保护机制。

在GraphQL API通过可以实现弱密码爆破来碰碰运气，不过还得分无登陆次数限制和有登陆次数限制两种情况。

• 无登陆次数限制

如果无登陆次数的限制，直接可进行弱密码爆破。

• 有登陆次数限制

如果一些网站存在登陆次数的限制，比如下面在爆破过程中。

• 会提示过多登陆尝试

GraphQL对象不能够包含多个同名的属性，所以我们可以利用别名来实现多个同属性的操作，这样如果系统只限制了API请求速率，那么也可以通过别名查询来实现登陆爆破。

可以通过相关工具获取GraphQL API的数据结构，这里我们就发现了存在新建用户的操作。

利用这个接口创建一个新用户。

发现登陆操作。

利用新建用户成功查询到accessToken。

发现可以利用token进行管理员敏感信息查询。

尝试用刚才的token进行尝试，发现还是新建用户的信息。

伪造JWT，把新用户的token解析后，修改为admin。

成功查询到管理账号密码。

在GraphQL API中相关文件上传/下载操作也可能存在目录穿越、任意文件读取、任意文件写入等漏洞。

例如通过目录穿越成功任意文件写入。

成功上传至tmp目录。