GraphQL
学习与实践 AWS 黑客技术:HackTricks 培训 AWS 红队专家 (ARTE)
学习与实践 GCP 黑客技术:
HackTricks 培训 GCP 红队专家 (GRTE)
介绍
GraphQL 被强调为 REST API 的高效替代方案,提供了一种简化的方式来从后端查询数据。与 REST 相比,REST 通常需要在不同的端点之间进行多次请求以收集数据,而 GraphQL 允许通过单个请求获取所有所需的信息。这种简化显著有利于开发者,减少了他们的数据获取过程的复杂性。
GraphQL 和安全性
随着新技术的出现,包括 GraphQL,新的安全漏洞也随之而来。一个关键点是GraphQL 默认不包含认证机制。开发者有责任实施这些安全措施。没有适当的认证,GraphQL 端点可能会向未认证用户暴露敏感信息,构成重大安全风险。
目录暴力攻击与 GraphQL
为了识别暴露的 GraphQL 实例,建议在目录暴力攻击中包含特定路径。这些路径包括:
/graphql
/graphiql
/graphql.php
/graphql/console
/api
/api/graphql
/graphql/api
/graphql/graphql
识别开放的 GraphQL 实例可以检查支持的查询。这对于理解通过端点访问的数据至关重要。GraphQL 的自省系统通过详细说明模式支持的查询来促进这一点。有关更多信息,请参阅 GraphQL 关于自省的文档:GraphQL:API 的查询语言。
指纹识别
工具 graphw00f 能够检测服务器使用的 GraphQL 引擎,并打印一些对安全审计员有用的信息。
通用查询
要检查 URL 是否为 GraphQL 服务,可以发送一个通用查询,query{__typename}
。如果响应包含 {"data": {"__typename": "Query"}}
,则确认该 URL 托管了一个 GraphQL 端点。此方法依赖于 GraphQL 的 __typename
字段,该字段揭示了被查询对象的类型。
基本枚举
Graphql 通常支持 GET、POST (x-www-form-urlencoded) 和 POST(json)。虽然出于安全考虑,建议仅允许 json 以防止 CSRF 攻击。
反向查询
要使用反向查询发现架构信息,请查询 __schema
字段。该字段在所有查询的根类型上可用。
通过此查询,您将找到所有正在使用的类型的名称:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-45033ea2a7d8c631430146a2ddf713919a8d9c82%252Fimage%2520%281036%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=458db399&sv=1)
通过这个查询,您可以提取所有类型、它的字段和它的参数(以及参数的类型)。这将非常有助于了解如何查询数据库。
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-a4059618a9238087dbd99bd3dbe85c1ac7dbdf8a%252Fimage%2520%28950%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=529da8c8&sv=1)
错误
了解错误是否会被显示是很有趣的,因为它们将提供有用的信息。
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-0cd3e45fccd4b2064fca9fb35add65bea885fd9d%252Fimage%2520%28416%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=aead6681&sv=1)
通过自省枚举数据库模式
如果自省已启用但上述查询无法运行,请尝试从查询结构中删除 onOperation
、onFragment
和 onField
指令。
内联自省查询:
最后一行代码是一个graphql查询,它将转储所有来自graphql的元信息(对象名称、参数、类型...)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-7093c0a2830aa13b97b7d9f5085b0843e5d003af%252Fimage%2520%28363%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=4e34dd72&sv=1)
如果启用了自省,您可以使用 GraphQL Voyager 在图形用户界面中查看所有选项。
查询
现在我们知道数据库中保存了哪种信息,让我们尝试提取一些值。
在自省中,您可以找到可以直接查询的对象(因为您不能仅仅因为对象存在就查询它)。在下图中,您可以看到“queryType”被称为“Query”,而“Query”对象的一个字段是“flags”,这也是一种对象类型。因此,您可以查询标志对象。
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-eef992753b188040adb6f33d8661d77ec19da736%252FScreenshot%2520from%25202021-03-13%252018-17-48.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=a7e90973&sv=1)
请注意,查询“flags”的类型是“Flags”,该对象定义如下:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-722d32196143296167bc2e966402ed482da8fe36%252FScreenshot%2520from%25202021-03-13%252018-22-57%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8e4de7d&sv=1)
您可以看到“Flags”对象由name和value组成。然后,您可以使用查询获取所有标志的名称和值:
注意,如果查询的对象是像字符串这样的原始****类型,如以下示例所示
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-3f805b3ce38d310716e41d985a9ae2544a5cdcce%252Fimage%2520%28958%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9c42d9fc&sv=1)
您可以直接查询:
在另一个例子中,"Query" 类型对象中有两个对象:"user" 和 "users"。 如果这些对象不需要任何参数进行搜索,可以通过请求所需的数据来检索所有信息。在这个互联网示例中,你可以提取保存的用户名和密码:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-b42b37ed36c78ebf2c6dcce7b8241a0817d5c8b1%252Fimage%2520%28880%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=96fe48d8&sv=1)
然而,在这个例子中,如果你尝试这样做,你会得到这个错误:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-61c135212c51ced29938aef8f285ac19f8f85fe4%252Fimage%2520%281042%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=914af49&sv=1)
看起来它会使用类型为 Int 的 "uid" 参数进行搜索。
无论如何,我们已经知道,在 Basic Enumeration 部分提出了一个查询,显示了所有所需的信息:query={__schema{types{name,fields{name, args{name,description,type{name, kind, ofType{name, kind}}}}}}}
如果你阅读我运行该查询时提供的图像,你会看到 "user" 有一个类型为 Int 的 arg "uid"。
因此,通过一些轻量级的 uid 暴力破解,我发现 uid=1 时检索到了一个用户名和一个密码:
query={user(uid:1){user,password}}
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-629c1147c044a7edfc0452bb86ed657ea911aef6%252Fimage%2520%2890%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c96383f7&sv=1)
注意我发现我可以请求 参数 "user" 和 "password",因为如果我尝试查找不存在的内容 (query={user(uid:1){noExists}}
),我会得到这个错误:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-8bad097887b80495e770000f595f2a1dbfbae19f%252Fimage%2520%28707%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=a59a2285&sv=1)
在枚举阶段,我发现 "dbuser" 对象的字段有 "user" 和 "password"。
查询字符串转储技巧(感谢 @BinaryShadow_)
如果你可以通过字符串类型进行搜索,例如:query={theusers(description: ""){username,password}}
,并且你搜索一个空字符串,它将转储所有数据。 (注意这个例子与教程的例子无关,对于这个例子假设你可以通过一个名为 "description" 的字符串字段使用 "theusers" 进行搜索).
搜索
在这个设置中,一个数据库包含人员和电影。人员通过他们的电子邮件和姓名进行识别;电影通过它们的名称和评分进行识别。人员可以互为朋友,也可以拥有电影,表示数据库中的关系。
你可以通过姓名搜索人员并获取他们的电子邮件:
您可以通过名称搜索人员并获取他们的订阅****电影:
注意如何指示检索该人的 subscribedMovies
的 name
。
您还可以同时搜索多个对象。在这种情况下,搜索了 2 部电影:
或者甚至使用别名的多个不同对象的关系:
Mutations
变更用于在服务器端进行更改。
在自省中,您可以找到声明的 变更。在下图中,"MutationType" 被称为 "Mutation",而 "Mutation" 对象包含变更的名称(在本例中为 "addPerson"):
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-44a446c60fb9a4afd4bf483f63901eeb7ffa9268%252FScreenshot%2520from%25202021-03-13%252018-26-27%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d98669c4&sv=1)
在此设置中,数据库包含人员和电影。人员通过其电子邮件和姓名进行识别;电影通过其名称和评分进行识别。人员可以彼此成为朋友,并且也可以拥有电影,表示数据库中的关系。
一个在数据库中创建新电影的变更可以像以下示例(在此示例中,变更被称为 addMovie
):
注意查询中如何指示值和数据类型。
此外,数据库支持一个mutation操作,名为addPerson
,允许创建persons及其与现有friends和movies的关联。重要的是要注意,朋友和电影必须在数据库中预先存在,然后才能将它们链接到新创建的人。
指令重载
如本报告中描述的漏洞之一所述,指令重载意味着调用指令甚至数百万次,以使服务器浪费操作,直到可能导致拒绝服务(DoS)。
在1个API请求中批量暴力破解
此信息来自https://lab.wallarm.com/graphql-batching-attack/。 通过GraphQL API进行身份验证,同时发送多个不同凭据的查询进行检查。这是一种经典的暴力破解攻击,但现在由于GraphQL批量处理功能,可以在每个HTTP请求中发送多个登录/密码对。这种方法会欺骗外部速率监控应用程序,使其认为一切正常,没有暴力破解机器人试图猜测密码。
下面是一个应用程序身份验证请求的最简单演示,一次有3个不同的电子邮件/密码对。显然,可以以相同的方式在单个请求中发送数千个:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-e3b2aeec042f09deee15222f09139489ae7dd63d%252Fimage%2520%281081%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=20343af2&sv=1)
从响应截图中可以看到,第一个和第三个请求返回了_null_,并在_error_部分反映了相应的信息。第二个变更具有正确的身份验证数据,响应中包含正确的身份验证会话令牌。
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F902778555-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FVXPBd5ePyq2S6WpIV6Cj%252Fuploads%252Fgit-blob-e2f82d4dfbc68e5dea4c4c45ae6111533f4220cc%252Fimage%2520%28119%29%2520%281%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=db7505b0&sv=1)
无需自省的GraphQL
越来越多的graphql端点正在禁用自省。然而,当收到意外请求时,graphql抛出的错误足以让像clairvoyance这样的工具重建大部分架构。
此外,Burp Suite扩展GraphQuail 观察通过Burp的GraphQL API请求并构建一个内部GraphQL 架构,每当它看到新的查询时。它还可以为GraphiQL和Voyager公开架构。当收到自省查询时,该扩展返回一个假响应。因此,GraphQuail显示了API中可用的所有查询、参数和字段。有关更多信息,请查看此处。
一个很好的词表可以在这里发现GraphQL实体。
绕过GraphQL自省防御
为了绕过API中对自省查询的限制,在__schema
关键字后插入特殊字符被证明是有效的。这种方法利用了开发人员在正则表达式模式中常见的疏忽,这些模式旨在通过关注__schema
关键字来阻止自省。通过添加像空格、换行符和逗号这样的字符,GraphQL会忽略这些字符,但正则表达式可能没有考虑到,从而可以绕过限制。例如,在__schema
后面带有换行符的自省查询可能会绕过这样的防御:
如果不成功,请考虑其他请求方法,例如 GET 请求 或 使用 x-www-form-urlencoded
的 POST 请求,因为限制可能仅适用于 POST 请求。
尝试 WebSockets
如 此演讲 中提到的,检查是否可以通过 WebSockets 连接到 graphQL,因为这可能允许您绕过潜在的 WAF,并使 websocket 通信泄露 graphQL 的架构:
发现暴露的 GraphQL 结构
当 introspection 被禁用时,检查网站源代码中 JavaScript 库中预加载的查询是一种有效的策略。这些查询可以通过开发者工具中的 Sources
选项卡找到,提供有关 API 架构的见解,并揭示潜在的 暴露敏感查询。在开发者工具中搜索的命令是:
CSRF in GraphQL
如果你不知道什么是 CSRF,请阅读以下页面:
CSRF (Cross Site Request Forgery)在外面,你将能够找到几个 未配置 CSRF 令牌的 GraphQL 端点。
请注意,GraphQL 请求通常通过使用 Content-Type application/json
的 POST 请求发送。
然而,大多数 GraphQL 端点也支持 form-urlencoded
POST 请求:
因此,像之前那样的 CSRF 请求是 在没有预检请求的情况下 发送的,因此可以 利用 CSRF 在 GraphQL 中 进行 更改。
然而,请注意 Chrome 的 samesite
标志的新默认 cookie 值为 Lax
。这意味着 cookie 仅会在 GET 请求中从第三方网站发送。
请注意,通常也可以将 查询 请求 作为 GET 请求 发送,并且 CSRF 令牌可能不会在 GET 请求中进行验证。
此外,利用 XS-Search 攻击 可能能够利用用户的凭据从 GraphQL 端点提取内容。
有关更多信息,请 查看 原始帖子。
GraphQL 中的跨站 WebSocket 劫持
类似于利用 GraphQL 的 CRSF 漏洞,也可以执行 跨站 WebSocket 劫持,以利用未保护的 cookie 进行 GraphQL 身份验证,并使用户在 GraphQL 中执行意外操作。
有关更多信息,请查看:
WebSocket AttacksGraphQL 中的授权
在端点上定义的许多 GraphQL 函数可能仅检查请求者的身份验证,而不检查授权。
修改查询输入变量可能导致敏感账户详细信息 泄露。
突变甚至可能导致账户接管,试图修改其他账户数据。
绕过 GraphQL 中的授权
将查询链接在一起可以绕过一个弱认证系统。
在下面的示例中,您可以看到操作是“forgotPassword”,并且它应该只执行与之相关的 forgotPassword 查询。通过在末尾添加一个查询可以绕过这一点,在这种情况下,我们添加“register”和一个用户变量,以便系统注册为新用户。
使用 GraphQL 中的别名绕过速率限制
在 GraphQL 中,别名是一个强大的功能,允许在进行 API 请求时明确命名属性。这个功能对于在单个请求中检索同一类型的多个实例特别有用。别名可以用来克服 GraphQL 对象不能具有多个同名属性的限制。
要详细了解 GraphQL 别名,推荐以下资源:Aliases。
虽然别名的主要目的是减少大量 API 调用的必要性,但已识别出一个意外的用例,其中别名可以被利用来对 GraphQL 端点执行暴力攻击。这是可能的,因为某些端点受到速率限制器的保护,旨在通过限制HTTP 请求的数量来阻止暴力攻击。然而,这些速率限制器可能没有考虑到每个请求中的操作数量。鉴于别名允许在单个 HTTP 请求中包含多个查询,它们可以绕过此类速率限制措施。
考虑下面提供的示例,它说明了如何使用别名查询来验证商店折扣代码的有效性。这种方法可以绕过速率限制,因为它将多个查询编译成一个 HTTP 请求,可能允许同时验证多个折扣代码。
工具
漏洞扫描器
https://github.com/dolevf/graphql-cop: 测试graphql端点的常见错误配置
https://github.com/assetnote/batchql: 专注于执行批量GraphQL查询和变更的GraphQL安全审计脚本。
https://github.com/dolevf/graphw00f: 指纹识别正在使用的graphql
https://github.com/gsmith257-cyber/GraphCrawler: 可用于抓取模式和搜索敏感数据、测试授权、暴力破解模式以及查找到给定类型的路径的工具包。
https://github.com/swisskyrepo/GraphQLmap: 也可以作为CLI客户端使用以自动化攻击
https://gitlab.com/dee-see/graphql-path-enum: 列出在GraphQL模式中到达给定类型的不同方式的工具。
https://github.com/doyensec/GQLSpection: InQL的独立和CLI模式的继任者
https://github.com/doyensec/inql: 用于高级GraphQL测试的Burp扩展。_扫描器是InQL v5.0的核心,您可以分析GraphQL端点或本地自省模式文件。它自动生成所有可能的查询和变更,并将其组织成结构化视图以供分析。攻击者_组件允许您运行批量GraphQL攻击,这对于规避实现不佳的速率限制非常有用。
https://github.com/nikitastupin/clairvoyance: 尝试通过使用一些Graphql数据库的帮助,即使在禁用自省的情况下也获取模式,这些数据库将建议变更和参数的名称。
客户端
https://altair.sirmuel.design/: GUI客户端
自动测试
解释AutoGraphQL的视频: https://www.youtube.com/watch?v=JJmufWfVvyU
参考
学习和实践AWS黑客攻击:HackTricks培训AWS红队专家(ARTE)
学习和实践GCP黑客攻击:
HackTricks培训GCP红队专家(GRTE)
Last updated