Black Hat GraphQL
Attacking Next Generation APIs
Aleks et Farhi sur attaquer GraphQL spécifiquement : abus d'introspection, batching, attaques profondeur et complexité, défauts d'auth, et les différences avec REST qui font des pentests GraphQL leur propre discipline.
En tant qu'Associé Amazon, nous percevons une commission sur les achats éligibles. Le lien ci-dessus est sponsorisé.
- Auteurs
- Nick Aleks,Dolev Farhi
- Publié
- 2023
- Éditeur
- No Starch Press
- Pages
- 320
- Langue
- English
À lire si
Quiconque dont le scope bug bounty ou pentest inclut GraphQL — et qui ne trouve rien parce qu'il utilise une méthodologie web-app. Aleks et Farhi couvrent l'abus d'introspection, les attaques batching, le DoS profondeur/complexité, les défauts auth et la façon dont GraphQL aplatit le threat model web typique.
À éviter si
Lecteurs sans exposition GraphQL dans leur travail ; le livre est une spécialisation, pas une intro générale.
Points clés
- L'introspection désactivée n'est pas un contrôle de sécurité ; le livre explique comment énumérer les schémas sans elle et pourquoi cela importe.
- Les attaques batching et aliasing permettent à une requête HTTP de faire plein de choses ; les défenses rate-limit classiques échouent à moins d'être GraphQL-aware.
- Les attaques profondeur et complexité sont l'équivalent GraphQL du regex DoS, généralement possibles, souvent oubliées, parfois catastrophiques.
Notes
Le seul livre en imprimé sur la sécurité GraphQL à cette profondeur. À coupler avec Hacking APIs (Ball) pour le cadre attaque API plus large et avec Real-World Bug Hunting pour les études de cas style divulgation. Abonnez-vous aux divulgations bug bounty publiques liées GraphQL en parallèle de la lecture ; le champ bouge vite. Si vous voyez GraphQL sur un programme, ce livre est votre avantage.
Que lire avant
Que lire avant Black Hat GraphQL →Intermédiaire · 2022
Hacking APIs
L'approche structurée de Corey Ball pour attaquer les APIs REST et GraphQL : énumération, défauts d'auth, business logic, mass assignment, et le harnais de test autour.
Intermédiaire · 2011
The Web Application Hacker's Handbook
La référence exhaustive du pentest applicatif web, complète mais devenue de plus en plus un document historique.
Débutant · 2021
Bug Bounty Bootcamp
La marche pragmatique de Vickie Li à travers le workflow bug-bounty, du choix d'un programme et de la recon jusqu'au reporting de findings qui paient réellement.
Que lire ensuite
Que lire après Black Hat GraphQL →Intermédiaire · 2022
Hacking APIs
L'approche structurée de Corey Ball pour attaquer les APIs REST et GraphQL : énumération, défauts d'auth, business logic, mass assignment, et le harnais de test autour.
Intermédiaire · 2011
The Web Application Hacker's Handbook
La référence exhaustive du pentest applicatif web, complète mais devenue de plus en plus un document historique.
Avancé · 2011
The Tangled Web
Le livre le plus profond jamais écrit sur le modèle de sécurité étrange et accumulé du navigateur web.
Explorer des livres similaires
Alternatives à Black Hat GraphQL →Intermédiaire · 2022
Hacking APIs
L'approche structurée de Corey Ball pour attaquer les APIs REST et GraphQL : énumération, défauts d'auth, business logic, mass assignment, et le harnais de test autour.
Intermédiaire · 2011
The Web Application Hacker's Handbook
La référence exhaustive du pentest applicatif web, complète mais devenue de plus en plus un document historique.
Intermédiaire · 2021
Real-World Cryptography
Tour pratique de David Wong des primitives, protocoles et pièges cryptographiques qui apparaissent réellement en production, avec une attention assumée à TLS, Noise, AEAD modernes, et post-quantique.