Black Hat GraphQL
Nick Aleks, Dolev Farhi
- Editorial
- No Starch Press
- Año
- 2023
- Páginas
- ~320
- Nivel
- Intermedio
De qué trata
Manual pionero de seguridad ofensiva y defensiva escrito por Nick Aleks y Dolev Farhi, publicado por No Starch Press en 2023. Explora a fondo cómo auditar, atacar y fortificar APIs GraphQL contra vulnerabilidades del mundo real. Orientado a pentesters, investigadores de seguridad, ingenieros de DevSecOps y desarrolladores backend.
Los autores enseñan a descubrir y mapear endpoints GraphQL (mediante introspección habilitada o fuerza bruta de esquemas), extraer información sensible mediante inyecciones SQL/NoSQL en resolvers, y evadir controles de autorización mediante manipulación de IDOR (Insecure Direct Object References). Detallan ataques de denegación de servicio (DoS) a través de consultas cíclicas recursivas y procesamiento masivo de alias/batching, falsificación de peticiones del lado del servidor (SSRF) en webhooks, y técnicas de securización: desactivación de introspección, validación estricta de esquemas, cortafuegos WAF y límites de coste de consulta.
A través de un laboratorio de pruebas vulnerable ('Damn Vulnerable GraphQL Application' - DVGA), el lector aprende atacando y luego implementando las contramedidas de código necesarias. Es un texto indispensable para garantizar que las APIs GraphQL corporativas sean seguras y resistentes frente a ciberataques.
- GraphQL Security
- No Starch Press
- Pentesting de APIs
- Denegación de servicio (DoS)
- Inyecciones en resolvers
- Introspección
- DVGA Lab
- Ciberseguridad
¿Cómo enseña?
Teoría + práctica
- ✓ Incluye ejercicios
- ✓ Incluye proyectos
Proyectos
Laboratorio de Auditoría y Securización de APIs GraphQL
Auditoría de seguridad y explotación ética sobre el entorno DVGA para detectar consultas maliciosas, seguida de la implementación de defensas y límites de coste en Apollo Server.
