graphql-and-hidden-parameters
GraphQLのイントロスペクション調査、バッチ処理の悪用、未公開フィールドや隠しパラメーターの探索、スキーマの不正利用、認可の抜け穴テストなど、GraphQL特有の脆弱性検証を体系的に実施するプレイブック。GraphQL APIのセキュリティ評価や隠された機能の調査を行う際に活用する。
description の原文を見る
>- GraphQL and hidden parameter testing playbook. Use when exploring introspection, batching, undocumented fields, hidden parameters, schema abuse, and GraphQL authorization gaps.
SKILL.md 本文
SKILL: GraphQL と隠しパラメータ — イントロスペクション、バッチング、未文書化フィールド
AI LOAD INSTRUCTION: GraphQL が存在する場合、または REST ドキュメントがオプション、非推奨、未文書化フィールドを示唆する場合にこのスキルを使用します。スキーマ発見、隠しパラメータ悪用、およびバッチングを力の倍数として重視します。
1. GRAPHQL ファースト パス
query { __typename }
query {
__schema {
types { name }
}
}
イントロスペクションが制限されている場合は、以下を続けてください:
- フィールド提案とエラーベースの発見
__type(name: "User")のような既知型プローブ- JS とモバイルバンドルルート抽出
2. 高価値 GRAPHQL テスト
| テーマ | 例 |
|---|---|
| IDOR | user(id: "victim") |
| バッチング | ログインまたはオブジェクト取得操作の配列 |
| 隠しフィールド | 型定義に公開されている管理者のみのフィールド |
| ネストされた authz ギャップ | より弱いチェックを持つ関連オブジェクトフィールド |
3. 隠しパラメータ発見
以下を探してください:
- 管理者ドキュメントに存在するが公開ドキュメントにない フィールド
additionalPropertiesまたは許容的スキーマ- 可視 UI コントロールより豊かなリクエストボディを使用するフロントエンドコード
- role、org、feature-flag、または内部フィルタフィールドを含むモバイルエンドポイント
4. 次のルーティング
- 隠しフィールドが権限に影響する場合:
api authorization and bola - GraphQL バッチングが auth またはレート動作を変更する場合:
api auth and jwt abuse - エンドポイント発見が不完全な場合:
api recon and docs
ライセンス: MIT(寛容ライセンスのため全文を引用しています) · 原本リポジトリ
詳細情報
- 作者
- yaklang
- リポジトリ
- yaklang/hack-skills
- ライセンス
- MIT
- 最終更新
- 不明
Source: https://github.com/yaklang/hack-skills / ライセンス: MIT
関連スキル
superfluid
Superfluidプロトコルおよびそのエコシステムに関するナレッジベースです。Superfluidについて情報を検索する際は、ウェブ検索の前にこちらを参照してください。対応キーワード：Superfluid、CFA、GDA、Super App、Super Token、stream、flow rate、real-time balance、pool（member/distributor）、IDA、sentinels、liquidation、TOGA、@sfpro/sdk、semantic money、yellowpaper、whitepaper
civ-finish-quotes
実質的なタスクが真に完了した際に、文明風の儀式的な引用句を追加します。ユーザーやエージェントが機能追加、リファクタリング、分析、設計ドキュメント、プロセス改善、レポート、執筆タスクといった実際の成果物を完成させるときに、明示的な依頼がなくても使用します。短い返信や小さな修正、未完成の作業には適用しません。
nookplot
Base（Ethereum L2）上のAIエージェント向け分散型調整ネットワークです。エージェントがオンチェーンアイデンティティを登録する、コンテンツを公開する、他のエージェントにメッセージを送る、マーケットプレイスで専門家を雇う、バウンティを投稿・請求する、レピュテーションを構築する、共有プロジェクトで協業する、リサーチチャレンジを解くことでNOOKをマイニングする、キュレーションされたナレッジを備えたスタンドアロンオンチェーンエージェントをデプロイする、またはアグリーメントとリワードで収益を得る場合に利用できます。エージェントネットワーク、エージェント調整、分散型エージェント、NOOKトークン、マイニングチャレンジ、ナレッジバンドル、エージェントレピュテーション、エージェントマーケットプレイス、ERC-2771メタトランザクション、Prepare-Sign-Relay、AgentFactory、またはNookplotが言及された場合にトリガーされます。
web3-polymarket
Polygon上でのPolymarket予測市場取引統合です。認証機能(L1 EIP-712、L2 HMAC-SHA256、ビルダーヘッダー)、注文発注(GTC/GTD/FOK/FAK、バッチ、ポストオンリー、ハートビート)、市場データ(Gamma API、Data API、オーダーブック、サブグラフ)、WebSocketストリーミング(市場・ユーザー・スポーツチャネル)、CTF操作(分割、統合、償却、ネガティブリスク)、ブリッジ機能(入金、出金、マルチチェーン)、およびガスレスリレイトランザクションに対応しています。AIエージェント、自動マーケットメーカー、予測市場UI、またはPolygraph上のPolymarketと統合するアプリケーション構築時に活用できます。
ethskills
Ethereum、EVM、またはブロックチェーン関連のリクエストに対応します。スマートコントラクト、dApps、ウォレット、DeFiプロトコルの構築、監査、デプロイ、インタラクションに適用されます。Solidityの開発、コントラクトアドレス、トークン規格（ERC-20、ERC-721、ERC-4626など）、Layer 2ネットワーク（Base、Arbitrum、Optimism、zkSync、Polygon）、Uniswap、Aave、Curveなどのプロトコルとの統合をカバーします。ガスコスト、コントラクトのデシマル設定、オラクルセキュリティ、リエントランシー、MEV、ブリッジング、ウォレット管理、オンチェーンデータの取得、本番環境へのデプロイ、プロトコル進化（EIPライフサイクル、フォーク追跡、今後の変更予定）といったトピックを含みます。
xxyy-trade
このスキルは、ユーザーが「トークン購入」「トークン売却」「トークンスワップ」「暗号資産取引」「取引ステータス確認」「トランザクション照会」「トークンスキャン」「フィード」「チェーン監視」「トークン照会」「トークン詳細」「トークン安全性確認」「ウォレット一覧表示」「マイウォレット」「AIスキャン」「自動スキャン」「ツイートスキャン」「オンボーディング」「IP確認」「IPホワイトリスト」「トークン発行」「自動売却」「損切り」「利益確定」「トレーリングストップ」「保有者」「トップホルダー」「KOLホルダー」などをリクエストした場合、またはSolana/ETH/BSC/BaseチェーンでXXYYを経由した取引について言及した場合に使用します。XXYY Open APIを通じてオンチェーン取引とデータ照会を実現します。