GraphQL端点安全测试

Question

我正在和一个团队合作，他们正在开发一个移动应用程序，他们正在使用GraphQL。

因此，作为执行安全性测试的一部分，他们只共享graphql端点，而不共享其他任何东西。

甚至不包括应用程序UI或任何凭据。

基于我对GraphQL的基本理解，我能够获得模式并看到一些查询及其响应。

但是，除了端点URL本身之外，我无法理解可以在graphql端点上执行什么样的安全检查。

我只想知道，我在这里是否遗漏了一些东西，安全地说，如果不查看App并拥有基本的凭证，就无法执行安全测试。

请帮帮忙。

谢谢。

Answer 1

可以运行架构查询这一事实是第一个危险标志，特别是如果这是生产环境端点。

能够运行模式查询为攻击者提供了他们探索API所需的一切，如果有任何API方法/查询/突变可能被滥用，那么模式查询将使它们更容易发现任何潜在的缺陷。

一旦您可以运行graphql模式查询，下一步就是查找攻击者可能误用的查询/方法，然后从那里开始。