gsmith257-cyber/GraphCrawler
این ابزار یک کیت تست امنیتی خودکار برای GraphQL است که به توسعه‌دهندگان و امنیت‌کاران کمک می‌کند تا آسیب‌پذیری‌های امنیتی در APIهای مبتنی بر GraphQL را شناسایی کنند. ️
کاربرد:
این ابزار به صورت خودکار ساختار GraphQL را کشف می‌کند، انواع queryها و mutationها را تست می‌کند و به دنبال نقاط ضعفی مثل اطلاعات اضافی (over-fetching)، دسترسی نامحدود به داده‌ها، حملات نفوذ به نوع (type confusion) و عدم بررسی مجوزها می‌گردد.
در چه شرایطی بهتره استفاده شود؟
وقتی که یک تیم توسعه یا تست امنیتی می‌خواهد یک API مبتنی بر GraphQL را قبل از راه‌اندازی یا در حین عملیات، مورد ارزیابی امنیتی قرار دهد. همچنین برای تست دوره‌ای (مثل CI/CD) مناسب است.
چند مثال از موارد استفاده:
- شناسایی فیلدهای حساس که بدون مجوز نمایش داده می‌شوند.
- تشخیص حملات نفوذ به ساختار با ارسال queryهای غیرمعمول.
- تست محدودیت‌های نرخ درخواست (rate limiting) در endpointهای GraphQL.
- استخراج خودکار اسکیمای کامل API برای تحلیل بیشتر.
- ##GraphQL
- ##SecurityTesting
- ##APIsecurity
- ##PenetrationTesting
- ##BugBounty
- ##WebSecurity
- ##AutomatedTesting
- ##RedTeam
- ##CyberSecurity
- ##GraphCrawler