朋友们,现在只对常读和星标的公众号才展示大图推送,建议大家把杂七杂八聊安全“设为星标”,否则可能就看不到了啦~0x01 熟悉Graphql0x01.1 Graphql环境搭建通过springboot搭...
GraphQL漏洞笔记及案例
目录 GraphQL的基础知识相关漏洞整理敏感信息泄露与越权Express-GraphQL Endpoint CSRF漏洞GraphQL的注入漏洞Graphene-Django DEBUG漏洞实例 -...
防止 GraphQL 攻击
点击蓝字关注我们始于理论,源于实践,终于实战老付话安全,每天一点点激情永无限,进步看得见严正声明本号所写文章方法和工具只用于学习和交流,严禁使用文章所述内容中的方法未经许可的情况下对生产系统进行方法验...
从JS代码审计到GraphQL利用的管理账户接管
通过前期信息收集,发现一处登录页面: 只有登录,没有注册、忘记密码等入口。 那就试着对端点进行Fuzz看看: 然后将登录请求替换为注册看看: 失败。 查看Wappalyze...
漏洞利用之高级API查询语言GraphQL漏洞
在查找GraphQL API漏洞 之前,首先需要找到其终端节点,这是因为GraphQL API 对所有请求使用相同的终端节点。可手动查找也可借助工具自动查找。 在 GraphQL 中,每个 Graph...
网安原创文章推荐【2024/12/3】
2024-12-03 微信公众号精选安全技术文章总览洞见网安 2024-12-030x1 searchsploit漏洞辅助利用工具小兵搞安全 2024-12-03 23:04:58文章详细介绍了sea...
高级API查询语言GraphQL详解
点击蓝字关注我们始于理论,源于实践,终于实战老付话安全,每天一点点激情永无限,进步看得见严正声明本号所写文章方法和工具只用于学习和交流,严禁使用文章所述内容中的方法未经许可的情况下对生产系统进行方法验...
由于缓存配置错误而绕过授权
这篇文章是关于我最喜欢的发现之一,因为这是一个非常出乎意料的问题。 我正在测试一个电子商务网站。 它有 2 个资产。 和target.comadmin.target.com target.com是面向...
GraphQL Cop:一款针对GraphQL API的安全审计工具
关于GraphQL CopGraphQL Cop是一个小型 Python 实用程序,用于针对 GraphQL API 运行常见的安全测试。GraphQL Cop非常适合在 GraphQL 中运行 CI...
玩转graphQL
这是 酒仙桥六号部队 的第 118篇文章。全文共计4257个字,预计阅读时长12分钟。前言在测试中我发现了很多网站开始使用GraphQL技术,并且在测试中发现了其使用过程中存在的问题,那么,到底Gra...
api漏洞测试-GraphQL自省问题
api漏洞测试-GraphQL自省问题 正文 正常情况下的请求:在生产环境中,开发者通常会禁用自省查询功能,只允许有限的、明确授权的查询。例如,用户只被允许查询他们自己账户的信息,无法访问其他用户的信...
如何利用好BurpSuite在企业src中捡洞
01前言今天分享一些实用的BurpSuite插件实用技巧,帮助白帽子如何在竞争激烈的src挖掘中吃上一块肉。02 ssrf-King在BurpSuite中实现自动化SSRF检测推荐插件:ssrfkin...
7