GraphQL注入

GraphQL概述

GraphQL是一种查询语言,用于API设计和数据交互,不仅仅用于查询数据库。GraphQL 允许客户端在一个请求中明确地指定需要的数据,并返回预期的结果;并且将数据查询和数据修改分离开,大大增加灵活性。GraphQL正在迅猛发展,但也存在着一些安全问题。

GraphQL查询

GraphQL支持多种查询方式:Query、Mutation、Subscription、Input、Enum、Union、Interface

其中Query是GraphQL最常用的一种方式,用于从服务端获取数据,使用Query可以指定需要返回的字段以及过滤条件。

例如,请求服务器返回用户ID为1的用户名和电子邮件地址:

复制代码
query{
    user(id:1){
        name
        email
    }
}

Mutation用于在服务端修改或添加数据

例如,请求服务器将用户ID为1的用户名更改为name1:

复制代码
mutation{
    updateUserName(id:1,name:"name1"){
        id
        name
        email
    }
}

Subscription允许客户端通过WebSocket连接实时接收来自服务器的数据更新。比如可以应用于在线聊天等。

例如,订阅一个名为Message频道,并有消息时返回消息内容:

复制代码
subscription{
    Message(channel:"chat"){
        content
        author
    }
}

GraphQL注入利用

接口名称通常带有graphql字眼,查询语法是以query作为开头的。

存在GraphQL注入时,可以进行越权查询敏感数据等操作,比如ssrf利用。

比如,

复制代码
POST /graphql HTTP/1.1
Host: graphqlapp.herokuapp.com
Content-Type: application/json

{"query":
 "\n query 
IntrospectionQuery {\n 
__schema {\n queryType { 
name }\n mutationType { 
name }\n",
"variables":{
    "host":"test.com",
    "port":80
}
}

这里就可以利用ssrf。利用"host":"xx.dnslog.cn"

GraphQL注入防御建议

  • 限制查询的访问权限
  • 限制查询返回的字段和数据量
  • 检查输入参数的合法性
  • 限制查询语句的复杂性:GraphQL支持嵌套查询和参数化查询。
相关推荐
一点.点1 分钟前
李沐动手深度学习(pycharm中运行笔记)——04.数据操作
pytorch·笔记·python·深度学习·pycharm·动手深度学习
mon_star°2 小时前
搭建基于火灾风险预测与防范的消防安全科普小程序
安全·微信小程序·小程序·微信公众平台
神经毒素2 小时前
WEB安全--RCE--webshell bypass
网络·安全·web安全
我的golang之路果然有问题3 小时前
案例速成GO+redis 个人笔记
经验分享·redis·笔记·后端·学习·golang·go
韩明君3 小时前
前端学习笔记(四)自定义组件控制自己的css
前端·笔记·学习
灏瀚星空4 小时前
从基础到实战的量化交易全流程学习:1.1 量化交易本质与行业生态
人工智能·笔记·学习·数学建模·信息可视化
Jumbuck_105 小时前
基于OpenMV+STM32+OLED与YOLOv11+PaddleOCR的嵌入式车牌识别系统开发笔记
笔记·stm32·嵌入式硬件
努力做小白5 小时前
Linux扩展
linux·c语言·笔记
pedestrian_h5 小时前
gin框架学习笔记
笔记·学习·go·web·gin
程序猿chen5 小时前
量子跃迁:Vue组件安全工程的基因重组与生态免疫(完全体终局篇)
前端·vue.js·git·安全·面试·前端框架·跳槽