कमजोरियों को खोजने के लिए एक उपकरण के रूप में ग्राफलाइन वॉयेजर

वर्तमान में, अधिक से अधिक कंपनियां ग्राफकॉल का उपयोग करना शुरू कर रही हैं। यह एक अपेक्षाकृत नई तकनीक है (अधिक सटीक होने के लिए, यह एक क्वेरी भाषा है), जिसे मौजूदा REST समस्याओं को हल करने के लिए डिज़ाइन किया गया है।

यदि आप ग्राफकॉल से परिचित नहीं हैं, तो मैं संसाधनों से शुरू करने की सलाह देता हूं:

• https://www.howtographql.com/ - असाइनमेंट और ब्रेकप्वाइंट के साथ इंटरैक्टिव प्रशिक्षण। सीखना स्क्रैच से शुरू होता है और ग्राफ़िकल एप्लिकेशन के विकास के साथ समाप्त होता है।
  
• https://graphql.org/learn/ और https://graphql.imtqy.com/graphql-spec/June2018 - प्रलेखन प्रारूप में प्रशिक्षण। यदि आप किसी विशिष्ट विषय का अध्ययन करना चाहते हैं तो उपयुक्त है।
  
• [upd 04.07.19] https://ctf.hacker101.com - हैकरऑन ने ग्राफकॉल में कमजोरियों को खोजने के लिए दो कार्य किए। वायेजर को आजमाने के लिए अच्छी जगह। नौकरियां BugDB v1 और BugDB v2 कहलाती हैं।
  

इस लेख में मैं ग्राफ़िकल एपीआई में कमजोरियों को खोजने के लिए उपकरणों में से एक को साझा करना चाहता हूं। यदि आप ग्राफकॉल एपीआई में कमजोरियों की तलाश कर रहे थे, तो संभवतः आपको इस तरह की समस्याओं का सामना करना पड़ा:

• दस्तावेज़ीकरण के बजाय, आपके पास एक बहुत बड़ा अपठनीय JSON (ग्राफक्यूएल स्कीमा) है।
  
• वेब एप्लिकेशन ग्राफकलाइन एपीआई के केवल भाग का उपयोग करता है, इसलिए आप सभी डेटा और समापन बिंदु नहीं देखते हैं।
  

इन समस्याओं को हल करने में एक अच्छा सहायक है ग्राफकॉल वॉयेजर , जो ग्राफकलाइन स्कीमा का प्रतिपादन करता है। विज़ुअलाइज़ेशन ग्राफ़िकल एपीआई की समझ को बहुत सुविधाजनक बनाता है और कमजोरियों को तेज़ी से खोजने में मदद करता है।

ग्राफ़कॉन वॉयेजर का उपयोग क्यों करें?

कमजोरियों की तलाश करने से पहले, हम यह समझना चाहते हैं कि ग्राफ़िकल एपीआई का उपयोग करके क्या डेटा प्राप्त किया जा सकता है और कौन से ऑपरेशन किए जा सकते हैं। एक नियम के रूप में, कोई प्रलेखन पृष्ठ नहीं होगा, क्योंकि ग्राफ़कॉल में ही दस्तावेज़ शामिल हैं। आप एक विशेष अनुरोध का उपयोग करके दस्तावेज़ीकरण प्राप्त कर सकते हैं, जो एक ग्राफकाइ स्कीमा लौटाता है जिसमें ग्राफकॉल एपीआई के बारे में सभी सार्वजनिक जानकारी होती है (आगे यह कैसे करना है)।

सबसे अधिक बार, एक स्कीमा एक बहुत बड़ा JSON है, और इसे केवल पढ़ने से एपीआई को समझना बहुत मुश्किल है। एक और बात उसी JSON का एक दृश्य प्रतिनिधित्व है:


JSON बनाम छवि

ग्राफक्लाइन वायेजर का उपयोग कैसे करें?

सबसे पहले, आपको उस URL को खोजने की आवश्यकता है जहां ग्राफकॉल एपीआई स्थित है। ऐसा करने के कई तरीके हैं:

1. क्लाइंट (ब्राउज़र, मोबाइल एप्लिकेशन) से अनुरोध देखें।
   
2. GraphQL के लिए मानक URL पर Iterate। उदाहरण के लिए: / graphql, / api / graphql, ... (अधिक URL यहां देखे जा सकते हैं https://medium.com/@localh0t/discovering-graphql-endpoints-and-sqli-vadnerabilities-5d39f26cea2e )।
   
3. दस्तावेज़ीकरण ( https://developer.github.com/v4/ ) या समाचार ( https://medium.com/paypal-engineering/graphql-a-success-story-for-paypal-checkout-3482f724fb53 ) में एक उल्लेख प्राप्त करें ।
   

एक बार जब आप ग्राफक्लाइन एपीआई के लिए यूआरएल पा लेते हैं, तो आप ग्राफकॉल वायेजर का उपयोग करने के लिए आगे बढ़ सकते हैं। यह बहुत सरल है। उदाहरण के लिए, आप तीन चरणों में SWAPI ग्राफकॉल की कल्पना कर सकते हैं:

चरण 1. आत्मनिरीक्षण क्वेरी की प्रतिलिपि बनाएँ (एक क्वेरी जो स्कीमा लौटाती है):

1. Https://apis.guru/graphql-voyager/ पर जाएं ।
2. "कस्टम स्कीमा" पर क्लिक करें।
3. "कॉपी आत्मनिरीक्षण कॉपी करें" पर क्लिक करें।

चरण 2. आत्मनिरीक्षण क्वेरी चलाएँ:

1. Https://graphql.imtqy.com/swapi-graphql पर जाएं ।
2. क्वेरी (पृष्ठ के बाईं ओर) में एक आत्मनिरीक्षण क्वेरी डालें।
3. निवेदन प्रस्तुत करें।

चरण 3. परिणामी आरेख (पृष्ठ के दाईं ओर) को कॉपी करें और इसे वायेजर में पेस्ट करें।

नोट : विशिष्ट चरण एक एपीआई से दूसरे में भिन्न हो सकते हैं, जैसा कि GraphQL में क्वेरीज़ को विभिन्न तरीकों से लागू किया जा सकता है।

उसके बाद, आपके पास एक सहज ज्ञान युक्त इंटरफ़ेस होगा जिसमें शामिल हैं: वस्तुओं के साथ एक ग्राफ, उनके क्षेत्र और वस्तुओं के बीच संबंध।


अब यह बहुत स्पष्ट है

अगर आपके पास कोई बहुत बड़ी स्कीम है, तो चौंकिए मत। GraphQL API में बहुत अधिक कार्यक्षमता हो सकती है, साथ ही REST API, इसलिए, सुविधाजनक प्रस्तुति के बावजूद, सभी विवरणों का अध्ययन करने में अभी भी समय लगेगा।

निष्कर्ष

ग्राफकॉइल वायेजर एक अनिवार्य उपकरण है जब ग्राफकॉल एपीआई का परीक्षण किया जाता है। इसके साथ, आप पूरी तस्वीर देख सकते हैं और समझ सकते हैं कि ग्राफकॉल एपीआई का उपयोग कैसे करें।

यदि आप दो योजनाओं की तुलना करने की क्षमता जोड़ते हैं तो आप वायेजर को और बेहतर बना सकते हैं। यह विचार ग्राफकॉल में परिवर्तन को ट्रैक करने और परिवर्तन होने पर उन्हें कल्पना करने का है। यह नई कार्यक्षमता के बारे में या पुरानी कार्यक्षमता को संशोधित करने के बारे में जल्दी से जानने में मदद करेगा।

मैंने इस सुविधा के लिए GitHub पर एक टिकट बनाया। आप विकास में सहायता कर सकते हैं, उदाहरण के लिए, निम्नलिखित तरीकों से:

1. (आसान संस्करण) सुविधा के लिए वोट करें। इस प्रकार, इसके विकास की प्राथमिकता को उठाया जाएगा।
   
2. (हार्ड संस्करण) कोड स्वयं लिखें, क्योंकि GraphQL वॉयेजर में खुला स्रोत कोड है ।