TECHNICAL PAPER
/
papers
GraphQL Güvenliği: Introspection Açıkları ve Batching İstismar Analizi
API Güvenliği Araştırması
REST API'lere alternatif olarak geliştirilen GraphQL, tek bir uç noktadan esnek sorgulama imkanı sunar. Ancak Introspection ve sınırsız derinlikteki sorgular büyük siber riskler yaratır.
1. Introspection İle Şema İfşası
Üretim ortamında açık bırakılan Introspection sorgusu, veritabanındaki tüm nesne tiplerini, mutation fonksiyonlarını ve gizli API parametrelerini saldırgana bir harita gibi sunar.
2. Query Batching İle Rate-Limit Bypass
Tek bir HTTP POST isteği içerisinde yüzlerce GraphQL sorgusu dizisi (array) gönderilerek WAF ve rate-limiting engelleri aşılır ve hızlı kaba kuvvet (brute force) denemeleri yapılır.