Realizando Avaliação de Segurança GraphQL

Quando Usar

• Durante testes de penetração autorizados quando o aplicativo alvo usa uma API GraphQL
• Ao avaliar aplicações de página única (React, Vue, Angular) que se comunicam via GraphQL
• Para avaliar backends de aplicativos móveis que expõem endpoints GraphQL
• Ao testar arquiteturas de microsserviços com um gateway ou federação GraphQL
• Durante programas de recompensa por bugs que visam APIs baseadas em GraphQL

Pré-requisitos

• Autorização: Acordo escrito de teste de penetração para o alvo
• Burp Suite Professional: Com a extensão InQL para escaneamento GraphQL
• GraphQL Voyager: Ferramenta de visualização de schema
• InQL Scanner: Extensão do Burp para introspecção GraphQL e geração de consultas
• Altair GraphQL Client: Cliente GraphQL desktop para testes interativos
• clairvoyance: Enumeração de schema GraphQL quando a introspecção está desativada
• curl: Para submissão manual de consultas GraphQL

Fluxo de Trabalho

Passo 1: Descobrir e Identificar Endpoints GraphQL

Localize os endpoints GraphQL e confirme que o GraphQL está em execução.

# Common GraphQL endpoint paths
for path in graphql graphiql playground query gql api/graphql \
  v1/graphql v2/graphql graphql/console; do
  status=$(curl -s -o /dev/null -w "%{http_code}" \
    -X POST -H "Content-Type: application/json" \
    -d '{"query":"{__typename}"}' \
    "https://target.example.com/$path")
  echo "$path: $status"
done

# Check for GraphQL IDEs (GraphiQL, Playground)
curl -s "https://target.example.com/graphiql" | grep -i "graphiql"
curl -s "https://target.example.com/graphql/playground" | grep -i "playground"

# Fingerprint GraphQL engine
curl -s -X POST \
  -H "Content-Type: application/json" \
  -d '{"query":"{__typename}"}' \
  "https://target.example.com/graphql"
# Response varies by engine: Apollo returns "Query", Hasura returns "query_root"

# Check for WebSocket GraphQL subscriptions
# ws://target.example.com/graphql (or wss://)

Passo 2: Realizar Introspecção de Schema

Extraia o schema GraphQL completo para entender a superfície da API.

# Full introspection query
curl -s -X POST \
  -H "Content-Type: application/json" \
  -d '{"query":"{ __schema { types { name kind fields { name type { name kind ofType { name kind } } } } mutationType { fields { name } } queryType { fields { name } } subscriptionType { fields { name } } } }"}' \
  "https://target.example.com/graphql" | jq .

# Comprehensive introspection query
curl -s -X POST \
  -H "Content-Type: application/json" \
  -d '{"query":"query IntrospectionQuery{__schema{queryType{name}mutationType{name}subscriptionType{name}types{...FullType}directives{name description locations args{...InputValue}}}}fragment FullType on __Type{kind name description fields(includeDeprecated:true){name description args{...InputValue}type{...TypeRef}isDeprecated deprecationReason}inputFields{...InputValue}interfaces{...TypeRef}enumValues(includeDeprecated:true){name description isDeprecated deprecationReason}possibleTypes{...TypeRef}}fragment InputValue on __InputValue{name description type{...TypeRef}defaultValue}fragment TypeRef on __Type{kind name ofType{kind name ofType{kind name ofType{kind name ofType{kind name ofType{kind name ofType{kind name}}}}}}}"}' \
  "https://target.example.com/graphql" | jq . > schema.json

# If introspection is disabled, use clairvoyance for schema enumeration
python3 -m clairvoyance \
  -u "https://target.example.com/graphql" \
  -w /usr/share/seclists/Discovery/Web-Content/graphql-field-names.txt \
  -o discovered-schema.json

# Visualize the schema using GraphQL Voyager
# Upload schema.json to https://graphql-kit.com/graphql-voyager/

Passo 3: Testar Autorização em Consultas e Mutações

Verifique se o controle de acesso é aplicado no nível de campo e objeto.

# Testar consulta de todos os usuários (deve exigir admin)
curl -s -X POST \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $USER_TOKEN" \
  -d '{"query":"{ users { id email role passwordHash } }"}' \
  "https://target.example.com/graphql" | jq .

# Testar acesso a campos sensíveis do próprio usuário
curl -s -X POST \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer $USER_TOKEN" \
  -d '{"query":"{ user(id: 1) { id email ssn creditCard internalNotes } }"}' \
  "https://target.example.com/graphql" | jq .

# Testar autorização de mutação (ações exclusivas para admin com token de usuário)
curl -s -X POST \
  -H "Content-Type: application/json" \

…