HTTPQL e StreamQL

O Ogma usa um subconjunto da linguagem de consultas compatível com Caido para filtrar o histórico HTTP, o tráfego WebSocket, os resultados de Automação e as visualizações relacionadas.

Sintaxe

As consultas são compostas por cláusulas unidas por AND e OR.

req.host:example.com AND resp.code:200

Os parênteses agrupam expressões:

(req.path.cont:"/api/" OR req.path.cont:"/graphql") AND resp.code.gte:400

Há suporte a comentários:

// API errors
req.path.cont:"/api/" AND resp.code.gte:500

/* focus on login */
req.path.cont:"login"

Operadores

Operador	Significado
:	Igualdade ou correspondência padrão, dependendo do tipo de campo
.eq:	Igual a
.ne:	Diferente de
.cont:	Contém, sem diferenciar maiúsculas e minúsculas
.ncont:	Não contém, sem diferenciar maiúsculas e minúsculas
.cs.cont:	Contém, diferenciando maiúsculas e minúsculas
.cs.ncont:	Não contém, diferenciando maiúsculas e minúsculas
.like:	Correspondência de padrão do tipo SQL
.nlike:	Ausência de correspondência de padrão do tipo SQL
.regex:	Correspondência de expressão regular
.nregex:	Ausência de correspondência de expressão regular
.lt:	Menor que
.lte:	Menor ou igual a
.gt:	Maior que
.gte:	Maior ou igual a
.exists	O cabeçalho existe; use req.header["Name"].value.exists ou o equivalente para a resposta

Exemplos HTTP

Localize tráfego de API:

req.path.cont:"/api/"

Localize erros do servidor:

resp.code.gte:500

Localize respostas grandes:

resp.len.gt:100000

Localize respostas JSON:

resp.header["content-type"].value.cont:"application/json"

Localize requisições com cookies:

req.header["cookie"].value.exists

Localize tráfego modificado por Interceptação ou Localizar e substituir:

req.modified.eq:true

Localize possíveis caminhos de administração:

req.path.cont:"/admin" OR req.path.cont:"/manage"

Localize tráfego de reenvio ou automação:

source:replay OR source:automate

Exemplos de streaming

O StreamQL aplica o mesmo estilo de consulta às visualizações de WebSocket e de streaming.

Localize mensagens WebSocket que contenham um campo de token:

ws.raw.cont:"token"

Localize mensagens do servidor para o cliente:

ws.direction.eq:"To Client"

Localize mensagens com aparência de JSON:

ws.raw.cont:"{" AND ws.raw.cont:"}"

Filtros salvos práticos

Nome	Consulta
Erros de API	req.path.cont:"/api/" AND resp.code.gte:400
Endpoints de autenticação	req.path.cont:"login" OR req.path.cont:"oauth" OR req.path.cont:"session"
Tráfego JSON	resp.header["content-type"].value.cont:"json"
Métodos de interesse	req.method:POST OR req.method:PUT OR req.method:PATCH OR req.method:DELETE
Possíveis segredos	resp.body.cont:"api_key" OR resp.body.cont:"secret" OR resp.body.cont:"token"

Limites

Para manter os filtros previsíveis, o Ogma limita a complexidade das consultas:

• Profundidade máxima de aninhamento de expressões: 16.
• Número máximo de cláusulas: 64.

Se uma consulta ficar complexa demais, divida-a em filtros salvos ou use Pesquisa para uma investigação mais ampla.