当前位置：首页 > news >正文

GraphQL API安全攻防实战：从SRC漏洞挖掘到核心防护

news 2026/6/19 16:36:58

1. 项目概述：当GraphQL遇上SRC，一场关于“裸奔”的攻防战

最近在几个SRC（安全应急响应中心）项目里，我密集地遇到了基于GraphQL的API。说实话，一开始有点懵，习惯了RESTful那种路径分明、方法明确的接口，GraphQL这种“一个端点通吃所有”的风格，确实让传统的安全测试思路有点使不上劲。但挖了几个洞之后，我发现，这玩意儿对攻击者来说，简直是“天堂”，而对很多开发团队而言，如果安全意识不到位，那就是一场“裸奔”。GraphQL API的安全问题，正成为现代应用一个不容忽视的“阿喀琉斯之踵”。它不像传统API那样，把漏洞藏在某个偏僻的/api/v1/user/delete?id=123后面，它更像是把整个数据库的“查询权”和“操作权”，通过一个精巧但可能布满陷阱的接口，直接暴露了出来。本期，我们就来深入聊聊，在SRC漏洞挖掘实战中，如何系统性地审视和测试GraphQL API的安全，把那些看似高级的“特性”，变成我们挖掘漏洞的突破口。

2. GraphQL安全基础：理解“特性”与“漏洞”的一线之隔

在开始“挖”之前，我们必须先理解GraphQL是怎么“跑”起来的。否则，你连门都找不到，更别说找后门了。

2.1 GraphQL的核心工作机制与安全映射

GraphQL的核心思想是“声明式数据获取”。客户端发送一个描述所需数据结构的查询（Query）或变更（Mutation）请求到唯一的端点（通常是/graphql或/api），服务端则精确返回所请求的数据，不多不少。这个机制本身带来了效率的提升，但也引入了独特的安全模型。

从安全视角看，有几个关键组件需要我们立刻关注：

模式（Schema）：这是GraphQL的“合同”，定义了所有可查询的数据类型、字段以及它们之间的关系。它也是攻击者的“地图”。如果这张地图被轻易获取（通过自省），攻击者就能清晰地知道从哪里下手。
解析器（Resolver）：这是每个字段背后的函数，负责从数据库或其他服务获取实际数据。这里是最容易出问题的地方。开发者在写Resolver时，如果只考虑了功能实现，而忽略了权限校验、输入过滤、业务逻辑安全，漏洞就产生了。
自省（Introspection）：GraphQL内置的功能，允许查询其完整的模式信息。在生产环境开启自省，无异于把系统的技术架构说明书公开发布。

很多开发团队会认为，GraphQL有强类型系统，能自动校验输入，所以更安全。这是一个危险的误解。类型校验只能保证“格式正确”，比如一个字段要求是Int，你传字符串会报错。但它完全无法防御“业务逻辑错误”，比如一个接收用户ID的参数，你传了另一个用户的ID，类型校验通过，但这就可能构成一个越权漏洞（IDOR）。GraphQL把数据获取的灵活性交给了前端，但把数据安全的全部责任，压在了后端每一个Resolver的实现上。

2.2 寻找GraphQL端点：攻击的起点

在RESTful API中，我们通过爬虫、目录爆破寻找各种/api/路径。对于GraphQL，思路要变：我们通常只需要找到一个端点。但这个端点可能被“隐藏”或修饰过。

实战探测方法：

常规路径爆破：这是最基本的一步。使用Burp Suite的Intruder或类似工具，对目标域名结合以下常见路径进行爆破：
```
/graphql /api /api/graphql /graphql/api /v1/graphql /query /gql
```
同时，注意加上常见的HTTP方法测试，特别是POST和GET。虽然GraphQL规范推荐POST，但很多实现也支持GET，将查询放在query参数中。
通用查询探测法：这是最有效、最准确的方法。无论端点路径是什么，你可以直接向可疑的URL发送一个最简单的GraphQL查询。如果它是GraphQL端点，大概率会返回一个特征响应。
- 请求示例（POST, JSON）：
```
{ "query": "query { __typename }" }
```
- 成功响应特征：响应体里会包含{"data": {"__typename": "query"}}或类似结构。__typename是一个元字段，所有GraphQL对象都有，这个查询几乎总是被允许的。
- 工具化：你可以把这个逻辑写成简单的脚本，对大量目标进行批量筛查。在Burp Suite中，也可以利用Logger++等插件观察响应特征。
观察错误信息：向一个非GraphQL端点发送上述JSON payload，通常会返回404、405或者普通的HTML错误页。而向一个GraphQL端点发送畸形的JSON或非GraphQL查询，它通常会返回一个格式化的、包含errors字段的JSON错误信息，其中可能直接出现"GraphQL"关键词。这种差异化的错误处理本身就是一种信息泄露。

实操心得：不要只依赖一种方法。我遇到过将端点放在/api/v2/下的，也遇到过需要特定Content-Type: application/json头才会响应的。最稳健的策略是“路径爆破+通用查询验证+错误信息分析”组合拳。用Burp Suite的Scanner或Flow插件，可以配置自动化的GraphQL端点发现。

3. 信息收集与侦察：绘制攻击面地图

找到端点只是第一步。接下来，我们要像侦探一样，尽可能多地收集关于这个GraphQL API的信息。信息越多，攻击面越清晰。

3.1 利用自省（Introspection）获取完整蓝图

自省是GraphQL的双刃剑。对于开发者调试无比方便，对于攻击者则是天赐良机。一个完整的自省查询可以获取所有类型（Type）、查询（Query）、变更（Mutation）、订阅（Subscription）以及它们的字段、参数和描述。

完整的自省查询：你可以直接使用以下查询来获取全部信息。如果成功，返回的JSON将包含整个模式的详细描述。

query IntrospectionQuery { __schema { queryType { name } mutationType { name } subscriptionType { name } types { ...FullType } directives { name description locations args { ...InputValue } } } } fragment FullType on __Type { kind name description fields(includeDeprecated: true) { name description args { ...InputValue } type { ...TypeRef } isDeprecated deprecationReason } inputFields { ...InputValue } interfaces { ...TypeRef } enumValues(includeDeprecated: true) { name description isDeprecated deprecationReason } possibleTypes { ...TypeRef } } fragment InputValue on __InputValue { name description type { ...TypeRef } defaultValue } fragment TypeRef on __Type { kind name ofType { kind name ofType { kind name ofType { kind name ofType { kind name ofType { kind name ofType { kind name ofType { kind name } } } } } } } }

如果自省被禁用：服务器可能返回{"errors":[{"message":"Introspection is disabled"}]}。但这不意味着安全。禁用自省只是增加了攻击成本，而非消除了风险。我们还有别的办法。

3.2 自省禁用后的替代侦察手段

当自省被关闭，我们需要化身“盲人摸象”，通过试探和推理来还原模式。

字段猜测与错误信息分析：GraphQL的错误信息有时非常“健谈”。尝试查询一些常见的根字段名。
- 尝试query { user { id } }，query { users { id } }，query { me { id } }。
- 如果字段不存在，错误信息可能是“Cannot query field \"user\" on type \"Query\".”。看！它泄露了根类型名称是“Query”。继续尝试query { __schema { queryType { name } } }，这个查询有时在自省关闭时仍能工作。
- 通过反复试探，你可以逐步构建出可用的查询列表。工具如graphql-cop、InQL(Burp扩展)可以自动化这个过程。
利用已知的查询和变更：如果目标应用有对应的Web或移动客户端，通过代理抓取其发出的GraphQL请求。这些真实的请求直接告诉你哪些查询和变更是可用的，以及它们的结构。这是最精准的“地图”。
别名（Alias）和片段（Fragment）探测：即使你不知道完整结构，也可以利用GraphQL特性进行探测。例如，你可以发送一个查询，请求同一个字段多次但使用不同别名，观察响应。
```
query { alias1: __typename alias2: __typename }
```
这可以帮助你确认查询的基本能力。

注意事项：在侦察阶段，动作要轻，避免触发警报。大量、高频的错误查询可能会被WAF或监控系统标记。建议使用代理工具手动分析或使用低速率的自动化工具。记住，我们的目标是“摸清情况”，而不是“狂轰滥炸”。

4. 核心漏洞挖掘实战：从理论到利用

掌握了目标和地图，真正的“挖洞”工作开始了。GraphQL的漏洞大多源于其灵活性和后端实现的疏忽。

4.1 权限绕过与越权访问（IDOR in GraphQL）

这是API安全中最经典的问题，在GraphQL中依然高发，且形式可能更隐蔽。

经典IDOR：假设有一个查询query { user(id: \"123\") { email privateNotes } }。如果你把id参数改成124，就能访问到用户124的数据，这就是一个典型的越权。在GraphQL中，Resolver里必须对传入的id进行所属权校验，但开发者常常忘记。
GraphQL中的复杂IDOR：由于GraphQL允许嵌套查询，危险可能被放大。
```
query { me { id projects { // 返回当前用户的项目列表 id name collaborators { // 每个项目下的协作者列表 id email // 这里可能泄露其他用户的邮箱 } } } }
```
在这个查询中，me的权限校验可能通过了，但projects.collaborators这个字段的Resolver可能默认所有协作者信息都可读，导致通过一个已授权用户，间接获取了大量其他用户的敏感信息。关键在于，每个字段的Resolver都需要独立的权限检查。

测试方法：

寻找所有接收id、userId、username等标识符作为参数的查询和变更。
使用你的低权限账户（如果有的话）调用这些接口，尝试修改标识符为其他用户的。
特别注意变更操作（Mutation），如updateUserProfile、deletePost，这里的越权后果更严重。
使用Burp Suite的Compare功能，对比高权限和低权限账户对同一查询的响应差异，寻找本不该出现的字段。

4.2 批量查询攻击与资源耗尽

这是GraphQL特有的高风险攻击面。攻击者可以在单个请求中，发送一个包含大量查询的数组，或者利用别名发起多次查询。

查询批处理攻击：
```
[ {"query": "query { user(id: \"1\") { email } }"}, {"query": "query { user(id: \"2\") { email } }"}, ... // 重复成百上千次 ]
```
如果服务器没有速率限制或查询深度/复杂度限制，这会导致数据库瞬间承受巨大压力。

别名滥用攻击：

query { user1: user(id: \"1\") { email } user2: user(id: \"2\") { email } ... // 可以一直写下去 user1000: user(id: \"1000\") { email } }

这在一个请求内实现了批量数据获取，同样可能造成资源耗尽。

测试与影响：

构造包含大量独立查询或别名的请求。
监控服务器的响应时间。如果响应时间随着查询数量线性增长甚至超时，说明存在风险。
这种攻击可能导致服务拒绝（DoS），或触发数据库连接池耗尽，影响所有用户。

防御旁路测试：有些服务会限制查询的“深度”（嵌套层数）或“复杂度”（字段数量加权计算）。你需要测试这些限制是否可以被绕过。例如，深度限制为5，但通过使用片段（Fragment）展开，可能能请求到更深层的数据。

4.3 注入类漏洞

GraphQL强类型系统在一定程度上防御了SQL注入，但绝非免疫。

SQL注入：如果Resolver里是拼接字符串执行SQL，那么GraphQL参数依然可能成为注入点。特别是当参数用于ORDER BY、LIKE子句或动态表名时。
- 测试：在字符串参数中尝试'、\"、\\等字符，观察错误信息。尝试布尔盲注的payload，如query { search(filter: \"test' AND '1'='1\") { id } }。
NoSQL注入：如果后端使用MongoDB等NoSQL数据库，注入风险更高。GraphQL的输入参数通常是JSON，可能被直接传递给$where或查询操作符。
- 测试：尝试传入数组或对象。例如，一个filter参数预期是字符串，但你传入{\"$ne\": null}。如果Resolver直接用了db.collection.find({filter: userInput})，就可能绕过过滤。
命令注入：较少见，但如果Resolver中调用了系统命令（如通过用户输入拼接命令），则存在风险。
GraphQL查询注入：这是最“GraphQL”的一种注入。如果应用动态拼接GraphQL查询字符串，用户输入的部分可能被解释为新的字段或参数。
```
# 假设后端拼接：queryStr = \"query { user(id: \\\"\" + inputId + \"\\\") { \" + requestedFields + \" } }\" # 攻击者控制 requestedFields，可以注入： requestedFields = \"id email __schema { types { name } }\"
```
这可能导致信息泄露甚至整个模式被提取。

4.4 敏感信息泄露与错误处理不当

过度数据暴露：这是GraphQL设计哲学带来的副作用。前端要什么就给什么，但如果Resolver没有根据调用者角色过滤字段，就会泄露数据。例如，User类型有email、phone、internalId等字段。普通用户查询自己时，Resolver应该只返回email，而不是所有字段。但如果Resolver实现粗糙，可能一次性返回所有字段，依赖前端去过滤，这非常危险。
调试信息泄露：在生产环境的GraphQL错误响应中，如果包含了堆栈跟踪、数据库错误详情、内部文件路径等，就是严重的信息泄露。测试时，可以故意发送畸形的查询（如语法错误、类型不匹配），观察errors数组里的详细信息。
业务逻辑错误泄露：错误信息如“余额不足”、“密码错误次数超限”、“该邮箱未注册”，这些信息可以被用来枚举用户、探测账户状态，属于业务逻辑层面的信息泄露。

5. 自动化与工具链：提升漏洞挖掘效率

手动测试GraphQL效率低下，好在已经有一些优秀的工具可以集成到我们的工作流中。

5.1 侦察与信息收集工具

GraphQL Cop (dolevf/graphql-cop)：一个Python命令行工具，用于对GraphQL端点进行安全审计。它能自动检测自省是否开启、尝试批量查询攻击、查找常见路径、测试查询深度限制等，给出一个初步的风险报告。
InQL (Burp Suite Extension)：必备神器。它集成在Burp中，能自动对/graphql等端点进行自省查询，并将获取到的Schema以清晰的结构展示在Target -> Site map和单独的InQL标签页中。你可以直接看到所有的Queries、Mutations及其参数、返回类型，并可以右键一键生成攻击请求到Repeater，极大提升了测试效率。
Altair / GraphiQL：虽然是官方的GraphQL IDE，但也可以作为测试工具。通过浏览器插件或桌面应用连接到目标端点，可以方便地编写和测试查询，观察实时响应和错误信息。

5.2 漏洞扫描与模糊测试

Clairvoyance：在自省被禁用时，这款工具可以通过分析错误信息来推测GraphQL Schema，帮你重建出可用的查询结构。
GraphQLmap：一个专注于GraphQL安全测试的瑞士军刀，具备交互式Shell，可以用于执行自省查询、进行模糊测试、尝试注入等。
自定义脚本：对于批量查询、资源耗尽等测试，往往需要自己编写Python脚本。使用requests库，可以灵活构造各种Payload，并监控响应时间和服务器状态。

工具使用流程建议：

发现端点：使用常规爬虫/Burp扫描 + 通用查询脚本。
信息收集：使用InQL尝试自省。如果失败，使用Clairvoyance或手动错误分析。
初步扫描：使用GraphQL Cop进行快速安全体检。
深入测试：在Burp Repeater中，利用InQL生成的模板，针对具体的查询和变更，手动测试IDOR、注入、业务逻辑漏洞。
压力测试：编写脚本，对怀疑存在批量查询漏洞的接口进行压力测试（务必在授权范围内进行！）。

实操心得：工具虽好，但不能完全替代思考。InQL给你展示了所有“门”，但哪扇门后面有“宝藏”（漏洞），需要你结合业务逻辑去判断。例如，看到一个deleteFinancialRecord(id: ID!)的变更，它的危险性显然高于一个getPublicPosts的查询。优先测试高价值目标。

6. 防御视角与安全建议

挖洞是为了更好的防御。从开发和安全运维的角度，我们应该如何构建更安全的GraphQL API？

关闭生产环境自省：这是最基本、最有效的一步。在GraphQL服务器配置中（如Apollo Server的introspection选项，Graphene的introspection参数），确保在生产环境将其禁用。开发/测试环境可以保留。
实施查询成本分析与限制：
- 深度限制：防止过于复杂的嵌套查询（如query { a { b { c { d ... } } } }）。通常限制在6-10层以内。
- 复杂度限制：根据查询的字段数量、类型复杂度计算一个“成本”分数，并限制单个查询的最大成本。
- 令牌桶速率限制：不仅限制HTTP请求频率，更要限制GraphQL查询的执行频率或总成本/时间。
- 持久化查询：预先在服务器端注册允许的查询，客户端只发送查询ID。这能完全杜绝任意查询，是最高安全级别的方案，但会牺牲部分灵活性。
在Resolver层面实施授权：这是防御的基石。不要依赖网关或中间件做粗粒度的校验。在每个Resolver函数的一开始，就根据当前用户上下文（从JWT等token中解析）和传入参数，进行细粒度的权限检查。遵循“最小权限原则”。
严格的输入验证与净化：虽然GraphQL有类型校验，但对于字符串内容，仍需进行业务逻辑层面的验证（如邮箱格式、长度限制、禁止特定字符）。避免将用户输入直接拼接进数据库查询或系统命令。
安全的错误处理：在生产环境，确保GraphQL错误响应只返回对客户端友好的通用信息（如“内部服务器错误”），而将详细的错误日志记录到服务器端的安全日志系统中，避免信息泄露。
审计与监控：记录所有GraphQL查询日志，特别是变更操作。监控异常的查询模式，如深度极高、复杂度极大、频率异常的查询，这可能是攻击的迹象。

GraphQL API的安全，归根结底是“灵活性”与“可控性”的平衡。它赋予了前端巨大的能力，同时也要求后端开发者具备更强的安全意识和更严谨的代码实践。对于安全研究人员来说，理解这套机制，就能从那些被忽略的“特性”中，找到通往核心数据的路径。在SRC漏洞挖掘中，GraphQL目标正变得越来越常见，掌握这套方法论，无疑能让你在众测中脱颖而出。记住，最坚固的堡垒往往从内部被攻破，而一个未经妥善保护的Resolver，就是那个最脆弱的内部环节。

查看全文

http://www.gsyq.cn/news/1555109.html