एक HTTP पैरामीटर डिस्कवरी उपकरण जो एक बड़े शब्दकोश का उपयोग करके URL एंडपॉइंट्स के लिए वैध क्वेरी पैरामीटर ढूंढता है, GET/POST/JSON/XML अनुरोधों, दर-सीमा हैंडलिंग, और JS स्रोतों से निष्क्रिय निष्कर्षण का समर्थन करता है।
Arjun URL एंडपॉइंट के लिए क्वेरी पैरामीटर ढूंढ सकता है। अगर आपको समझ नहीं आया कि इसका क्या मतलब है, तो कोई बात नहीं, आगे पढ़ें।
वेब एप्लिकेशन उपयोगकर्ता इनपुट स्वीकार करने के लिए पैरामीटर (या क्वेरी) का उपयोग करते हैं, निम्नलिखित उदाहरण पर विचार करें
http://api.example.com/v1/userinfo?id=751634589
यह URL किसी विशिष्ट उपयोगकर्ता आईडी के लिए उपयोगकर्ता जानकारी लोड करता प्रतीत होता है, लेकिन क्या होगा यदि admin नामक एक पैरामीटर मौजूद है, जिसे True पर सेट करने पर एंडपॉइंट उपयोगकर्ता के बारे में अधिक जानकारी प्रदान करता है?
Arjun यही करता है, यह 25,890 पैरामीटर नामों के एक विशाल डिफ़ॉल्ट शब्दकोश के साथ मान्य HTTP पैरामीटर ढूंढता है।
सबसे अच्छी बात? यह इस विशाल सूची को पार करने में 10 सेकंड से भी कम समय लेता है, जबकि लक्ष्य पर केवल 50-60 अनुरोध करता है। यहाँ देखें कैसे।
GET/POST/POST-JSON/POST-XML अनुरोधों का समर्थन करता हैarjun स्थापित करने का अनुशंसित तरीका निम्नलिखित है:
pipx install arjun
नोट: यदि आप पायथन के पुराने संस्करण का उपयोग कर रहे हैं, तो pipx के बजाय pip का उपयोग करें।
विस्तृत उपयोग मार्गदर्शिका विकी के Usage अनुभाग पर उपलब्ध है।
कुछ बुनियादी विकल्पों के सीधे लिंक नीचे दिए गए हैं:
वैकल्पिक रूप से, आप अपने आप Arjun का पता लगाने के लिए --help तर्क का उपयोग कर सकते हैं।
पैरामीटर नामों की वर्डलिस्ट CommonCrawl डेटासेट से शीर्ष पैरामीटर नाम निकालकर और उसमें SecLists और param-miner वर्डलिस्ट के सर्वश्रेष्ठ शब्दों को मर्ज करके बनाई गई है।
db/special.json वर्डलिस्ट data-payloads से ली गई है।