TOOLS

Arjun Tool Kullanımı | Arjun HTTP Parameter Discovery

Merhaba. Bu yazımda web sızma testlerinde büyük bir öneme sahip olan kullanıcı girdileri alan parametrelerin tespitinde kullanılan Arjun isimli http parametreleri keşfi yapabileceğimiz toolu ele alacağım. Arjun, URL uç noktaları için sorgu parametrelerini bulabilir. Web uygulamaları kullanıcı girişini kabul etmek için parametreleri (veya sorguları) kullanır. Web testlerinde sistemimizde olması gereken bir araçtır. Özellikle bug bounty yaparken sıklıkla kullanılmaktadır.

  • GET/POST/POST-JSON/POST-XML istekleri destekler.
  • Hız sınırlarını ve zaman aşımlarını otomatik olarak yönetir.
  • Sonuçları şuraya aktar: BurpSuite, metin veya JSON dosyası.
  • Hedefleri şuradan içe aktarın: BurpSuite, metin dosyası veya ham istek dosyası.
  • JS’den veya 3 harici kaynaktan parametreleri pasif olarak çıkarabilir.

Arjun Kurulumu

Arjun, kali linux içerisinde yüklü olarak gelmemektedir fakat şu an ki kali linux sürümünde terminale arjun yazdığınızda size yükleyip yüklememesini sormaktadır. Evet dediğimiz takdirde hızlı bir şekilde yüklemektedir ancak bu şekilde kurulum yapamazsanız aşağıdaki adımları izleyebilirsiniz.

git clone https://github.com/s0md3v/Arjun
pip3 install arjun
python3 setup.py install

Yukarıdaki komutları sırasıyla uygulayarak kurulumu tamamlayabiliriz. Kontrol edelim.

Kurulum başarıyla tamamlanmış. Şimdi Arjun help çıktısına göz atalım.

Arjun Kullanımı

Arjun toolu ile canlı bir hedefe http parametre keşfi için tarama yapalım.

Arjun toolunda -u parametresini kullanarak hedef web adresini verdik. Tarama sonucunda 2 adet “image1” ve “Loc_NM” isminde parametre tespit ettik. Tespit ettiğimiz parametrelerden “Loc_NM” parametresini kullanarak hedef adreste bir XSS zafiyeti testi için javascript kodu çalıştıralım.

Tespit ettiğimiz parametre ve basit javascript kodu ile birlikte sorgumuz bu şekli almaktadır. Adrese giderek çalışıp çalışmadığını kontrol edelim.

Evet yukarıda görüldüğü üzere başarılı bir şekilde kodumuz çalıştı. Bu şekilde hedef adres üzerinde kullanıcı girdisi olan kısımları tespit ederek çeşitli zafiyetlerin tespitini yapabilirsiniz. Arjun toolunu başka toollarla birlikte kullanarak hedef web adresinde unutulmuş dosyaları bulup bunların parametrelerini tespit ederek güzel sonuçlar alabilirsiniz.

Başka yazılarda görüşmek üzere.

Serdar Daşdemir

Cyber Security Specialist / Pentester

Bir yanıt yazın

E-posta adresiniz yayınlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir

Başa dön tuşu