Cyber Shelf

// Comparaison

Black Hat GraphQL vs Real-World Bug Hunting : lequel lire ?

Deux livres de cybersécurité sur Web Security, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Intermédiaire
4/52023
Black Hat GraphQL

Attacking Next Generation APIs

Nick Aleks, Dolev Farhi

Aleks et Farhi sur attaquer GraphQL spécifiquement : abus d'introspection, batching, attaques profondeur et complexité, défauts d'auth, et les différences avec REST qui font des pentests GraphQL leur propre discipline.

Débutant
4/52019
Real-World Bug Hunting

A Field Guide to Web Hacking

Peter Yaworski

Peter Yaworski décortique de vrais rapports divulgués sur les principaux programmes de bug bounty, organisés par classe de vulnérabilité, pour apprendre à reconnaître les patterns dans la nature plutôt que sur des exemples de manuel.

À lire si

Quiconque dont le scope bug bounty ou pentest inclut GraphQL — et qui ne trouve rien parce qu'il utilise une méthodologie web-app. Aleks et Farhi couvrent l'abus d'introspection, les attaques batching, le DoS profondeur/complexité, les défauts auth et la façon dont GraphQL aplatit le threat model web typique.
Aspirants chasseurs de bugs qui veulent apprendre l'écart entre connaître une classe de bug et en trouver une. Les études de cas annotées de Yaworski sont ce qui se rapproche le plus d'un manuel sur ce à quoi ressemblent les vraies divulgations.

À éviter si

Lecteurs sans exposition GraphQL dans leur travail ; le livre est une spécialisation, pas une intro générale.
Lecteurs voulant un playbook méthodologique. Le livre est études-de-cas-organisées-par-classe, pas organisé par workflow ; pour le côté workflow, lisez Bug Bounty Bootcamp.

Points clés

  • L'introspection désactivée n'est pas un contrôle de sécurité ; le livre explique comment énumérer les schémas sans elle et pourquoi cela importe.
  • Les attaques batching et aliasing permettent à une requête HTTP de faire plein de choses ; les défenses rate-limit classiques échouent à moins d'être GraphQL-aware.
  • Les attaques profondeur et complexité sont l'équivalent GraphQL du regex DoS, généralement possibles, souvent oubliées, parfois catastrophiques.
  • Lire 30 rapports annotés condense ce qui prendrait autrement trois mois de lecture HackerOne ; le livre est à haut levier pour démarrer.
  • Le chapitre 'que faire quand on trouve quelque chose' est la partie la plus sous-estimée ; le rapport est la moitié de la bounty, et la plupart des débutants écrivent de mauvais rapports.
  • Les classes couvertes (XSS, IDOR, SSRF, OAuth, race conditions, business logic) correspondent directement à ce qui paie actuellement sur les programmes publics.

Comment ils se comparent

Black Hat GraphQL et Real-World Bug Hunting sont tous deux notés 4/5 dans notre catalogue. Choisissez selon vos préférences thématiques et de style, plutôt que sur la note.

Black Hat GraphQL vise le niveau intermédiaire. Real-World Bug Hunting vise le niveau débutant. Lisez le plus accessible d'abord si la thématique ne vous est pas familière.

Black Hat GraphQL et Real-World Bug Hunting couvrent tous les deux Web Security, Offensive : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

Black Hat GraphQL

→ Alternatives à Black Hat GraphQL→ Que lire après Black Hat GraphQL

Real-World Bug Hunting

→ Alternatives à Real-World Bug Hunting→ Que lire après Real-World Bug Hunting

Thématiques liées

Web SecurityOffensive