Realizando Ataque de Introspecção GraphQL

Quando Usar

• Testar endpoints GraphQL em busca de introspecção exposta que revela o esquema completo da API
• Mapear a superfície de ataque de uma API GraphQL para identificar consultas, mutações e tipos sensíveis
• Testar vulnerabilidades específicas do GraphQL, incluindo abuso de profundidade de consulta, ataques de lote e autorização em nível de campo
• Avaliar implementações GraphQL onde a introspecção está desabilitada, mas o esquema pode ser reconstruído através de mensagens de erro
• Avaliar defesas contra esgotamento de recursos por meio de consultas GraphQL profundamente aninhadas ou complexas

Não use sem autorização por escrito. A extração de esquema e os testes de abuso de consulta podem afetar a disponibilidade do serviço.

Pré-requisitos

• Autorização por escrito especificando o endpoint GraphQL e o escopo de teste
• Burp Suite Professional com a extensão InQL (v6.1+) para análise automatizada de esquema
• Python 3.10+ com as bibliotecas requests e gql
• GraphQL Voyager ou GraphQL Playground para visualização de esquema
• Ferramenta Clairvoyance para reconstrução de esquema quando a introspecção está desabilitada
• Wordlists para brute-forcing de nomes de campos e tipos GraphQL

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou tem permissão por escrito para testar é ilegal e pode violar leis de fraude computacional.

Fluxo de Trabalho

Etapa 1: Descoberta de Endpoint GraphQL

import requests
import json

TARGET = "https://target-api.example.com"
headers = {"Content-Type": "application/json"}

# Common GraphQL endpoint paths
GRAPHQL_PATHS = [
    "/graphql", "/graphql/", "/gql", "/query",
    "/api/graphql", "/api/gql", "/api/v1/graphql",
    "/v1/graphql", "/v2/graphql",
    "/graphql/console", "/graphql/playground",
    "/graphiql", "/altair", "/explorer",
    "/graph", "/api/graph",
]

# Probe for GraphQL endpoints
for path in GRAPHQL_PATHS:
    # Test with a simple introspection query
    query = {"query": "{ __typename }"}
    try:
        resp = requests.post(f"{TARGET}{path}", headers=headers, json=query, timeout=5)
        if resp.status_code == 200 and ("data" in resp.text or "__typename" in resp.text):
            print(f"[FOUND] GraphQL endpoint: {TARGET}{path}")
            print(f"  Response: {resp.text[:200]}")
    except requests.exceptions.RequestException:
        pass

    # Also test GET method
    try:
        resp = requests.get(f"{TARGET}{path}?query={{__typename}}", timeout=5)
        if resp.status_code == 200 and ("data" in resp.text or "__typename" in resp.text):
            print(f"[FOUND] GraphQL endpoint (GET): {TARGET}{path}")
    except requests.exceptions.RequestException:
        pass

Etapa 2: Consulta de Introspecção Completa

GRAPHQL_URL = f"{TARGET}/graphql"
auth_headers = {**headers, "Authorization": "Bearer <token>"}

# Consulta de introspecção completa para extrair o esquema completo
FULL_INTROSPECTION = {
    "query": """
    query IntrospectionQuery {
      __schema {
        queryType { name }
        mutationType { name }
        subscriptionType { name }
        types {
          ...FullType
        }
        directives {
          name
          description
          locations
          args {
            ...InputValue
          }
        }
      }
    }

    fragment FullType on __Type {
      kind
      name
      description
      fields(includeDeprecated: true) {
        name
        description
        args {
          ...InputValue
        }
        type {
          ...TypeRef
        }
        isDeprecated
        deprecationReason
      }
      inputFields {
        ...InputValue
      }
      interfaces {
        ...TypeRef
      }
      enumValues(includeDeprecated: true) {
        name
        description
        isDeprecated
        deprecationReason
      }
      possibleTypes {
        ...TypeRef
      }
    }

    fragment InputValue on __InputValue {
      name
      description
      type { ...TypeRef }
      defaultValue
    }

    fragment TypeRef on __Type {
      kind
      name
      ofType {
        kind
        name
        ofType {
          kind
          name
          ofType {
            kind
            name
            ofType {
              kind
              name
            }
          }
        }
      }
    }
    """
}

resp = requests.post(GRAPHQL_URL, headers=auth_headers, json=FULL_INTROSPECTION)

if resp.status_code == 200:
    schema = resp.json()

…