assetnote/batchql
این ابزار یک اسکریپت امنیتی برای بررسی و آزمون امنیتی GraphQL است که به‌طور خاص برای اجرای دسته‌ای درخواست‌های Query و Mutation طراحی شده است. ️
کاربرد:
این ابزار به تسترها و متخصصان امنیتی کمک می‌کنه تا به‌صورت خودکار و در مقیاس، نقاط ضعف امنیتی در APIهای GraphQL رو شناسایی کنند. این شامل تست حملاتی مثل Batch Query Injection، Resource Exhaustion و Authentication Bypass میشه.
در چه شرایطی بهتره استفاده شود؟
وقتی که با یک سرویس GraphQL مواجه هستید و می‌خواید بدونید آیا می‌تونه در برابر درخواست‌های حجیم یا ترکیب‌های خاص از کوئری‌ها مقاومت کنه، استفاده از این ابزار مناسبه. همچنین برای تست Rate Limiting و Authentication Logic در محیط‌های توسعه یا تست نفوذ عالیه.
چند مثال از موارد استفاده:
- ارسال ده‌ها کوئری در یک درخواست تکی برای تست Query Complexity
- تست حمله به نوع Batch Mutation برای ایجاد تغییرات ناخواسته در داده‌ها
- بررسی واکنش سرور به درخواست‌های توده‌ای و تشخیص آسیب‌پذیری‌های نوع DoS
- استفاده در تست نفوذ برای دور زدن محدودیت‌های امنیتی با تکنیک‌های دسته‌ای
- ##GraphQL
- ##SecurityTesting
- ##BatchQuery
- ##APIsecurity
- ##PenTesting
- ##RedTeaming
- ##BugBounty
- ##WebSecurity
- ##MutationAttack
- ##GraphQLAudit