重生之我是赏金猎人(十二)-记一次最终被忽略的graphql漏洞挖掘经历

0x00 起因

前几日在hackerone上挖掘某高赏金厂商，走了一遍业务点后，偶然发现http history里面有个graphql的接口

于是一场坐牢之旅开始了

0x01 前置知识与内省查询

不了解graphql的兄弟可以看看如下的图

通俗易懂地说：Graphql类似于restful的API 开源查询语言，其巧妙的新方法来改善应用程序中客户端和服务器之间的交互，为项目构建和后期维护提供了新思路

在实践经验中，发现国内用graphql技术的厂商并不是很多，大部分还是基于restful的，国外比较流行

在graphql中，是支持“内省查询”这种比较特殊的技术的

简单来说就是，GraphQL内置了类似于“swagger的”接口文档，你可以通过内省的方法获得这些信息，如graphql中对象定义、接口参数等信息。

当使用者不知道某个GraphQL接口中的类型哪些是可用的，可以通过__schema字段来向GraphQL查询哪些类型是可用的。

例如，您可以通过__schema通过此自省功能了解有关接口类型的更多信息。(下方图源于酒仙桥部队的一篇文章)

而内省查询通常是不应该对外能直接使用的

0x02 挖掘过程

有了一定的前置知识，我们来看这个graphql的点

笔者在抓到该厂商某个graphql的接口后,尝试使用_schema内省查询来获取接口的额外信息

POST /web-stories-api/graphql HTTP/1.1
Host: xxxxxxxxxx
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en-US;q=0.9,en;q=0.8
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.5481.78 Safari/537.36
Connection: close
Cache-Control: max-age=0
Content-Type: application/json
Content-Length: 1531
    
{"query":"query Query {\n    __schema {\n      queryType { name }\n      mutationType { name }\n      subscriptionType { name }\n      types {\n        ...FullType\n      }\n      directives {\n        name\n        description\n        locations\n        args {\n          ...InputValue\n        }\n      }\n    }\n  }\n\n  fragment FullType on __Type {\n    kind\n    name\n    description\n    fields(includeDeprecated: true) {\n      name\n      description\n      args {\n        ...InputValue\n      }\n      type {\n        ...TypeRef\n      }\n      isDeprecated\n      deprecationReason\n    }\n    inputFields {\n      ...InputValue\n    }\n    interfaces {\n      ...TypeRef\n    }\n    enumValues(includeDeprecated: true) {\n      name\n      description\n      isDeprecated\n      deprecationReason\n    }\n    possibleTypes {\n      ...TypeRef\n    }\n  }\n\n  fragment InputValue on __InputValue {\n    name\n    description\n    type { ...TypeRef }\n    defaultValue\n  }\n\n  fragment TypeRef on __Type {\n    kind\n    name\n    ofType {\n      kind\n      name\n      ofType {\n        kind\n        name\n        ofType {\n          kind\n          name\n          ofType {\n            kind\n            name\n            ofType {\n              kind\n              name\n              ofType {\n                kind\n                name\n                ofType {\n                  kind\n                  name\n                }\n              }\n            }\n          }\n        }\n      }\n    }\n  }"}

结果非常nice，内省查询后目标返回了接口的详细信息