nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : examen des limites de profondeur et de coût de GraphQL

AdminUser

Discussion de test préliminaire. Comment valideriez-vous l’examen des limites de profondeur et de coût de GraphQL dans le cadre d’une mission autorisée ?

Scénario : si GraphQL entre dans le périmètre, envoyez des requêtes imbriquées limitées et comparez la gestion de leur complexité sans mettre la production sous pression. Quelles mesures de protection prendriez-vous, quels éléments de preuve permettraient de reproduire le résultat et comment confirmeriez-vous qu’une correction a été apportée ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/47-reviewing-graphql-depth-and-cost-limits

Réponses

AdminUser

Méthode de test : Lorsque GraphQL entre dans le périmètre, envoyez des requêtes imbriquées limitées et comparez la gestion de leur complexité sans mettre la production sous pression. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Preuves : Consignez la profondeur des requêtes, le coût estimé, le temps de réponse et le comportement en cas de rejet. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : Définissez des limites de profondeur et de coût, et autorisez les objets résolus. Répétez la vérification initiale après le déploiement et consignez le résultat.