Portfolio

Graphql-Introspection - Pentesting Web

L'introspection en GraphQL est un mécanisme qui permet aux clients d'obtenir des informations sur le schéma GraphQL d'une API. Cela signifie que les clients peuvent explorer et découvrir les types de données, les champs et les relations qui existent dans l'API, ce qui peut être très utile pour les développeurs qui ont besoin de construire des clients GraphQL. Cependant, l'introspection peut également être utilisée par des attaquants pour obtenir des informations sensibles sur la structure et les données qui existent dans l'API, ce qui peut être utilisé pour mener des attaques plus sophistiquées.

Nous trouvons le contenu suivant :

Nous interceptons la demande avec Burpsuite:

Dans l'URL, nous insérons l'une de ces répertoires (dans mon cas, c'était /graphql) :

Lorsque nous avons trouvé le répertoire, nous lui attribuons le contenu suivant :

Nous rencontrerons très probablement cette erreur, et pour la résoudre, il suffit de placer deux barres basses devant les variables :

Une fois résolu, nous copions tout le contenu de la réponse :

Nous le collons dans la page web de graphql-kit dans la section introspection :

Maintenant, nous avons une vision graphique de la structure du GraphQL :

Dans la requête, comme nous connaissons les champs, nous les introduisons dans la demande et le serveur nous renvoie leur valeur :

Mis à jour

Ce contenu vous a-t-il été utile ?