HTTPQL и StreamQL

Ogma использует совместимое с Caido подмножество языка запросов для истории HTTP, WebSocket, результатов Automate и связанных разделов.

Синтаксис

Запросы состоят из условий, соединённых AND и OR.

req.host:example.com AND resp.code:200

Скобки группируют выражения:

(req.path.cont:"/api/" OR req.path.cont:"/graphql") AND resp.code.gte:400

Поддерживаются комментарии:

// API errors
req.path.cont:"/api/" AND resp.code.gte:500

/* focus on login */
req.path.cont:"login"

Операторы

Оператор	Значение
:	Равенство или стандартное совпадение в зависимости от типа поля
.eq:	Равно
.ne:	Не равно
.cont:	Содержит без учёта регистра
.ncont:	Не содержит без учёта регистра
.cs.cont:	Содержит с учётом регистра
.cs.ncont:	Не содержит с учётом регистра
.like:	Совпадение по шаблону SQL
.nlike:	Отрицательное совпадение по шаблону SQL
.regex:	Совпадение регулярного выражения
.nregex:	Отрицательное совпадение регулярного выражения
.lt:	Меньше
.lte:	Меньше или равно
.gt:	Больше
.gte:	Больше или равно
.exists	Заголовок существует; используйте req.header["Name"].value.exists или аналог для ответа

Примеры HTTP

Найти трафик API:

req.path.cont:"/api/"

Найти ошибки сервера:

resp.code.gte:500

Найти большие ответы:

resp.len.gt:100000

Найти ответы JSON:

resp.header["content-type"].value.cont:"application/json"

Найти запросы с cookie:

req.header["cookie"].value.exists

Найти трафик, изменённый Intercept или Match & Replace:

req.modified.eq:true

Найти вероятные административные пути:

req.path.cont:"/admin" OR req.path.cont:"/manage"

Найти трафик Replay или Automate:

source:replay OR source:automate

Примеры потоков

StreamQL применяет тот же стиль к WebSocket и потоковым представлениям.

Найти сообщения WebSocket с полем токена:

ws.raw.cont:"token"

Найти сообщения от сервера клиенту:

ws.direction.eq:"To Client"

Найти сообщения, похожие на JSON:

ws.raw.cont:"{" AND ws.raw.cont:"}"

Практические сохранённые фильтры

Имя	Запрос
Ошибки API	req.path.cont:"/api/" AND resp.code.gte:400
Конечные точки аутентификации	req.path.cont:"login" OR req.path.cont:"oauth" OR req.path.cont:"session"
Трафик JSON	resp.header["content-type"].value.cont:"json"
Интересные методы	req.method:POST OR req.method:PUT OR req.method:PATCH OR req.method:DELETE
Возможные секреты	resp.body.cont:"api_key" OR resp.body.cont:"secret" OR resp.body.cont:"token"

Ограничения

Для предсказуемости фильтров Ogma ограничивает сложность запросов:

• Максимальная глубина вложенности: 16.
• Максимум условий: 64.

Если запрос слишком сложный, разделите его на сохранённые фильтры или используйте поиск для более широкого исследования.