HTTPQL ו-StreamQL

Ogma משתמש בתת-קבוצה של שפת שאילתות תואמת Caido לסינון היסטוריית HTTP, תעבורת WebSocket, תוצאות אוטומציה ותצוגות קשורות.

תחביר

שאילתות מורכבות מתנאים המחוברים באמצעות AND ו-OR.

req.host:example.com AND resp.code:200

סוגריים מקבצים ביטויים:

(req.path.cont:"/api/" OR req.path.cont:"/graphql") AND resp.code.gte:400

ניתן להוסיף הערות:

// API errors
req.path.cont:"/api/" AND resp.code.gte:500

/* focus on login */
req.path.cont:"login"

אופרטורים

אופרטור	משמעות
:	שוויון או התאמת ברירת מחדל, בהתאם לסוג השדה
.eq:	שווה
.ne:	לא שווה
.cont:	מכיל, ללא הבחנה בין אותיות גדולות וקטנות
.ncont:	לא מכיל, ללא הבחנה בין אותיות גדולות וקטנות
.cs.cont:	מכיל, עם הבחנה בין אותיות גדולות וקטנות
.cs.ncont:	לא מכיל, עם הבחנה בין אותיות גדולות וקטנות
.like:	התאמת תבנית בסגנון SQL
.nlike:	אי-התאמה לתבנית בסגנון SQL
.regex:	התאמה לביטוי רגולרי
.nregex:	אי-התאמה לביטוי רגולרי
.lt:	קטן מ-
.lte:	קטן או שווה
.gt:	גדול מ-
.gte:	גדול או שווה
.exists	הכותרת קיימת; השתמשו ב-req.header["Name"].value.exists או במקבילה עבור התגובה

דוגמאות HTTP

איתור תעבורת API:

req.path.cont:"/api/"

איתור שגיאות שרת:

resp.code.gte:500

איתור תגובות גדולות:

resp.len.gt:100000

איתור תגובות JSON:

resp.header["content-type"].value.cont:"application/json"

איתור בקשות עם עוגיות:

req.header["cookie"].value.exists

איתור תעבורה ששונתה באמצעות יירוט או התאמה והחלפה:

req.modified.eq:true

איתור נתיבים שסביר שהם נתיבי ניהול:

req.path.cont:"/admin" OR req.path.cont:"/manage"

איתור תעבורת שליחה חוזרת או אוטומציה:

source:replay OR source:automate

דוגמאות זרמים

StreamQL מחיל את אותו סגנון שאילתות על תצוגות WebSocket וזרמים.

איתור הודעות WebSocket המכילות שדה אסימון:

ws.raw.cont:"token"

איתור הודעות מהשרת ללקוח:

ws.direction.eq:"To Client"

איתור הודעות דמויות JSON:

ws.raw.cont:"{" AND ws.raw.cont:"}"

מסננים שמורים שימושיים

שם	שאילתה
שגיאות API	req.path.cont:"/api/" AND resp.code.gte:400
נקודות קצה לאימות	req.path.cont:"login" OR req.path.cont:"oauth" OR req.path.cont:"session"
תעבורת JSON	resp.header["content-type"].value.cont:"json"
שיטות בקשה מעניינות	req.method:POST OR req.method:PUT OR req.method:PATCH OR req.method:DELETE
סודות אפשריים	resp.body.cont:"api_key" OR resp.body.cont:"secret" OR resp.body.cont:"token"

מגבלות

כדי לשמור על התנהגות צפויה של המסננים, Ogma מגביל את מורכבות השאילתות:

• עומק מרבי של ביטויים מקוננים: 16.
• מספר תנאים מרבי: 64.

אם שאילתה נעשית מורכבת מדי, פצלו אותה למסננים שמורים או השתמשו בחיפוש לצורך חקירה רחבה יותר.