mcpField
G
graphql-and-hidden-parameters

graphql-and-hidden-parameters

github.com/yaklang安全2.6k3.7k 次安装6 周前更新
代码仓库

关于 graphql-and-hidden-parameters

用于 GraphQL 与 REST API 安全测试的技能，面向安全测试人员和 Agent。内容聚焦模式发现、隐藏参数检查及批处理相关的授权与速率行为。

主要功能

  1. 01GraphQL 模式发现
  2. 02错误与字段建议探测
  3. 03隐藏参数检查
  4. 04批处理安全测试
  5. 05按发现结果路由后续测试

适用场景

  1. 01枚举受限的 GraphQL 模式
  2. 02检查未公开字段的授权问题
  3. 03测试批处理对认证或速率的影响

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/yaklang/hack-skills --skill graphql-and-hidden-parameters

安装后在 Claude Code 中输入/graphql-and-hidden-parameters确认已加载。

详细介绍

技能：GraphQL 与隐藏参数 — 内省、批处理和未记录字段

AI 加载指令：当存在 GraphQL，或 REST 文档显示存在可选字段、已弃用字段或未记录字段时，使用此技能。重点关注架构发现、滥用隐藏参数，以及将批处理作为效果倍增器。

1. GraphQL 初步检查

query { __typename }
query {
  __schema {
    types { name }
  }
}

如果内省受到限制，请继续尝试：

  • 通过字段建议和错误进行发现
  • 探测已知类型，例如 __type(name: "User")
  • 从 JS 和移动端代码包中提取路由

2. 高价值 GraphQL 测试

主题示例
IDORuser(id: "victim")
批处理登录或对象获取操作数组
隐藏字段类型定义中暴露的管理员专用字段
嵌套授权缺口检查较宽松的关联对象字段

3. 隐藏参数发现

查找：

  • 管理员文档中存在、但公共文档中没有的字段
  • additionalProperties 或宽松的架构
  • 前端代码使用的请求体比可见 UI 控件所展示的更丰富
  • 携带角色、组织、功能标志或内部筛选字段的移动端端点

4. 后续路由

评论

支持 Markdown