تست GraphQL

GraphQL چیست؟

GraphQL یک زبان پرس‌وجو و runtime برای API است که توسط Facebook توسعه داده شده است. برخلاف REST که endpoint‌های متعدد دارد، GraphQL از یک endpoint واحد استفاده می‌کند و به کلاینت اجازه می‌دهد دقیقاً مشخص کند چه داده‌هایی نیاز دارد.

تفاوت GraphQL و REST

ساختار GraphQL

Query (پرس‌وجو)

Query برای خواندن داده‌ها استفاده می‌شود و معادل GET در REST است.

1query {
2  user(id: 1) {
3    name
4    email
5    posts {
6      title
7    }
8  }
9}

Mutation (تغییر)

Mutation برای ایجاد، به‌روزرسانی و حذف داده‌ها استفاده می‌شود.

1mutation {
2  createUser(input: {
3    name: "Ali"
4    email: "ali@example.com"
5  }) {
6    id
7    name
8  }
9}

Subscription

Subscription برای دریافت داده‌های لحظه‌ای از طریق WebSocket استفاده می‌شود.

آسیب‌پذیری‌های GraphQL

۱. Introspection فعال

Introspection به مهاجم اجازه می‌دهد schema کامل سرور را کشف کند.

1{
2  __schema {
3    types {
4      name
5      fields {
6        name
7        type {
8          name
9        }
10      }
11    }
12  }
13}

۲. Injection در Resolver

اگر resolver‌ها ورودی‌ها را بدون اعتبارسنجی در query پایگاه داده استفاده کنند، SQL Injection ممکن است رخ دهد.

1query {
2  user(name: "' OR 1=1 --") {
3    id
4    name
5  }
6}

۳. Nested Query (حمله DoS)

query‌های تو در تو می‌توانند منابع سرور را مصرف کنند.

1query {
2  users {
3    friends {
4      friends {
5        friends {
6          friends {
7            name
8          }
9        }
10      }
11    }
12  }
13}

۴. نقض مجوز (Authorization Bypass)

اگر authorization فقط در سطح query بررسی شود و نه در سطح field، مهاجم می‌تواند به داده‌های مجاز دسترسی پیدا کند.

روش‌شناسی تست

مرحله ۱: شناسایی Endpoint

• جستجوی endpoint‌های رایج: /graphql, /graphiql, /api/graphql
• بررسی header Content-Type: application/graphql
• بررسی درخواست‌های POST با body JSON حاوی query

مرحله ۲: تست Introspection

1curl -X POST https://target.com/graphql \
2  -H "Content-Type: application/json" \
3  -d '{"query": "{ __schema { types { name } } }"}'

مرحله ۳: تست Injection

• تست SQL Injection در argument‌ها
• تست NoSQL Injection
• تست LDAP Injection
• تست OS Command Injection

مرحله ۴: تست Authorization

• بررسی دسترسی به field‌های حساس
• تست IDOR در argument‌ها
• بررسی دسترسی به mutation‌های مدیریتی

مرحله ۵: تست محدودیت‌ها

• تست عمق query
• تست تعداد field‌ها
• تست محدودیت نرخ
• تست حجم درخواست

ابزارهای تست

• InQL: Burp Suite extension برای GraphQL
• GraphQL Voyager: مصورسازی schema
• GraphiQL: محیط توسعه GraphQL
• BatchQL: ابزار اسکن آسیب‌پذیری GraphQL
• Burp Suite: اسکنر عمومی وب

تأثیر

• دسترسی غیرمجاز به داده‌های حساس
• اجرای کد از راه دور
• انکار سرویس (DoS)
• نقض مجوز و دسترسی به داده‌های سایر کاربران

راه‌حل

• غیرفعال کردن introspection در محیط تولید
• محدود کردن عمق و پیچیدگی query
• اعتبارسنجی ورودی‌ها در resolver
• بررسی authorization در سطح field
• استفاده از محدودیت نرخ درخواست
• لاگ‌برداری و مانیتورینگ query‌های مشکوک