HTTPQL en StreamQL

Ogma gebruikt een subset van een Caido-compatibele querytaal om de HTTP-geschiedenis, WebSocket-verkeer, resultaten van Automatiseren en gerelateerde weergaven te filteren.

Syntaxis

Query's bestaan uit clausules die met AND en OR zijn verbonden.

req.host:example.com AND resp.code:200

Haakjes groeperen expressies:

(req.path.cont:"/api/" OR req.path.cont:"/graphql") AND resp.code.gte:400

Commentaar wordt ondersteund:

// API errors
req.path.cont:"/api/" AND resp.code.gte:500

/* focus on login */
req.path.cont:"login"

Operatoren

Operator	Betekenis
:	Gelijk aan of standaardvergelijking, afhankelijk van het veldtype
.eq:	Gelijk aan
.ne:	Niet gelijk aan
.cont:	Bevat, niet hoofdlettergevoelig
.ncont:	Bevat niet, niet hoofdlettergevoelig
.cs.cont:	Bevat, hoofdlettergevoelig
.cs.ncont:	Bevat niet, hoofdlettergevoelig
.like:	Vergelijking met een SQL-achtig patroon
.nlike:	Negatieve vergelijking met een SQL-achtig patroon
.regex:	Vergelijking met een reguliere expressie
.nregex:	Negatieve vergelijking met een reguliere expressie
.lt:	Kleiner dan
.lte:	Kleiner dan of gelijk aan
.gt:	Groter dan
.gte:	Groter dan of gelijk aan
.exists	Header bestaat; gebruik req.header["Name"].value.exists of het equivalent voor de respons

HTTP-voorbeelden

Zoek API-verkeer:

req.path.cont:"/api/"

Zoek serverfouten:

resp.code.gte:500

Zoek grote responses:

resp.len.gt:100000

Zoek JSON-responses:

resp.header["content-type"].value.cont:"application/json"

Zoek verzoeken met cookies:

req.header["cookie"].value.exists

Zoek verkeer dat is gewijzigd door Interceptie of Zoeken en vervangen:

req.modified.eq:true

Zoek paden die waarschijnlijk voor beheer dienen:

req.path.cont:"/admin" OR req.path.cont:"/manage"

Zoek verkeer uit Opnieuw versturen of Automatiseren:

source:replay OR source:automate

Streamvoorbeelden

StreamQL past dezelfde querystijl toe op WebSocket- en streamweergaven.

Zoek WebSocket-berichten die een tokenveld bevatten:

ws.raw.cont:"token"

Zoek berichten van server naar client:

ws.direction.eq:"To Client"

Zoek JSON-achtige berichten:

ws.raw.cont:"{" AND ws.raw.cont:"}"

Praktische opgeslagen filters

Naam	Query
API-fouten	req.path.cont:"/api/" AND resp.code.gte:400
Authenticatie-eindpunten	req.path.cont:"login" OR req.path.cont:"oauth" OR req.path.cont:"session"
JSON-verkeer	resp.header["content-type"].value.cont:"json"
Interessante methoden	req.method:POST OR req.method:PUT OR req.method:PATCH OR req.method:DELETE
Mogelijke geheimen	resp.body.cont:"api_key" OR resp.body.cont:"secret" OR resp.body.cont:"token"

Limieten

Om filters voorspelbaar te houden, beperkt Ogma de complexiteit van query's:

• Maximale nestingsdiepte van expressies: 16.
• Maximaal aantal clausules: 64.

Als een query te complex wordt, splits deze dan op in opgeslagen filters of gebruik Zoeken voor breder onderzoek.