【网络安全 | 渗透测试】GraphQL精讲三：使用Burp进行渗透测试

未经许可，不得转载。

前言

GraphQL是一种API查询语言，旨在促进客户端与服务器之间的高效通信。它使用户能够精确指定所需的数据，从而避免REST API中常见的大型响应对象和多次调用问题。

GraphQL服务通常用于身份验证和数据检索机制。这意味着，如果攻击者能够成功发送恶意请求，他们可能会访问敏感信息，甚至执行更高危的攻击，如跨站请求伪造（CSRF）。

Burp Suite 使构造 GraphQL 请求变得简单，并能帮助用户深入了解 GraphQL API 的模式。

推荐阅读：

【网络安全 | 渗透测试】GraphQL精讲一：基础知识

【网络安全 | 渗透测试】GraphQL精讲二：发现API漏洞

查看和修改 GraphQL 请求

如果 Burp 侦测到 GraphQL 请求，它会自动在请求的消息编辑器中添加一个 GraphQL 选项卡。该选项卡将 GraphQL 查询与请求的其他部分分开，并以易于查看和编辑的格式显示。

查询结构会显示在 Query 面板 中，而其关联的变量则显示在 Variables 面板 中。

<