InQL Scanner v3 - 刚刚发布！

2020年11月19日 - 作者：Andrea Brancaleoni

我们非常高兴地宣布，InQL 的新主要版本现已在我们发布页面上提供。

如果您还不熟悉，InQL 是一款用于 GraphQL 技术的安全测试工具。它可以用作独立脚本或 Burp Suite 扩展。通过将 InQL v3 的功能与向 Burp Repeater 发送查询模板的能力相结合，我们使得利用 GraphQL 查询和变更中的漏洞变得非常容易。这大大降低了针对 GraphQL 技术栈进行安全研究的门槛。

以下是版本 3.0 中实现的主要功能简介：

新的 IIR（内省中间表示）和精确查询生成

InQL 现在利用内部内省中间表示（IIR）来使用从类型内省获得的详细信息，并生成任意嵌套的查询，支持任何标量类型、枚举、数组和对象。IIR 实现了从 Scanner 到其他工具组件（Repeater 和 GraphQL 控制台）的无缝“发送到 Repeater”功能。

新的循环检测器

新的 IIR 允许我们通过简单地访问启用 GraphQL 内省的端点来检查定义的 GraphQL 模式中的循环。在这种情况下，循环是 GraphQL 模式中使用递归对象导致无限嵌套的路径。循环检测非常有用，并通过采用图解决算法自动化了繁琐的测试过程。在我们过去的一些客户项目中，该工具能够在几分钟内找到数百万个循环。

新的请求计时器

InQL 3.0.0 具有集成的查询计时器。这个查询计时器是对请求计时器的重新构想，可以按查询名称和正文进行过滤。查询计时器默认启用，尤其与循环检测器结合使用时非常有用。测试人员可以在 graphql 编辑器模式（Repeater 和 GraphIQL）之间切换，以识别 DoS 查询。查询计时器通过计算每个查询的执行时间来展示攻击此类易受攻击的 graphql 端点的能力。

错误修复和未来发展

我们非常感谢大家报告我们之前版本中的问题。我们已经实施了各种功能性和用户体验错误的修复，包括由最新 2020.11 更新中 Burp Suite 突然更改引起的一个棘手错误。

我们很高兴看到社区将 InQL 视为 GraphQL 安全测试的“首选”标准。更多功能即将推出，因此请继续通过我们的 Github 问题页面提交您的请求和错误报告。非常感谢您的反馈！

这个项目是在 Doyensec 研究岛上用爱制作的。

其他相关文章：

InQL v5：技术深度探讨 - 2023年8月17日
介绍代理增强序列图（PESD） - 2023年2月14日
InQL Scanner v2 发布！ - 2020年6月11日
InQL Scanner - 2020年3月26日
介绍 burp-rest-api v2 - 2018年11月5日
GraphQL - 安全概述和测试技巧 - 2018年5月17日
开发 Burp Suite 扩展培训 - 2017年3月2日