Web Sitelerindeki Gizli Arka Kapıları Arjun ile Ortaya Çıkarıyoruz
- Ahmet BİRKAN
- 21 Oca
- 2 dakikada okunur
Arkadaşlar merhaba, bu videoda sizlere web uygulamalarında gizli parametrelerin keşfi konusunu ele alacağız. Ancak önce çok kritik bir soruya cevap verelim: Gizli parametreleri tespit etmek neden bu kadar önemli?
Web uygulamalarında görünen parametreler, zaten son kullanıcıya sunulmuş ve çoğu zaman çeşitli güvenlik kontrolleriyle sınırlandırılmış yapılardır. Ancak işin arka planında, geliştiriciler tarafından debug amacıyla unutulmuş parametreler, yetki kontrolü yapan gizli değişkenler, admin fonksiyonlarını tetikleyen özel parametreler veya “nasıl olsa kimse görmez” düşüncesiyle bırakılmış arka kapılar bulunabilir.
İşte tam da bu yüzden, bir web pentest çalışmasının keşif (recon) aşamasında gizli parametrelerin tespiti, sistemi gerçekten anlamak ve kritik zafiyetlere giden yolu açmak açısından son derece hayati bir adımdır.
Bu noktada karşımıza çıkan Arjun aracı; GET ve POST parametreleri başta olmak üzere, arayüzde görünmeyen ama arka planda çalışan gizli değişkenleri tespit etmeye yarayan, akıllı bir brute-force ve analiz aracıdır.
Arjun tek başına doğrudan bir exploit gerçekleştirmez. Ancak yaptığı tespitler sayesinde çok kritik kapıları aralayabilir. Örneğin:
IDOR (Yetkisiz Nesne Erişimi) açıkları
Yetki yükseltme zafiyetleri
Test veya debug modlarını açan gizli parametreler
Gizli filtreleme veya bypass parametreleri
İş mantığı (Business Logic) hataları
Admin fonksiyonlarını tetikleyen gizli değişkenler
Bunların tamamı, Arjun’un dolaylı olarak ortaya çıkarabileceği yüksek etki değerine sahip güvenlik problemleridir.
Peki Arjun bu işlemi nasıl yapıyor?
Arjun, içinde parametre isimleri bulunan özel bir wordlist kullanarak hedef sisteme yüzlerce hatta binlerce istek gönderir. Ardından gelen cevapların:
HTTP durum kodlarını
İçeriklerini
Boyutlarını
Davranış farklılıklarını
birbirleriyle karşılaştırarak hangi parametrenin uygulamanın davranışını değiştirdiğini analiz eder ve bu şekilde gizli parametreleri ortaya çıkarır.
İşlem | Komut |
Kurmak için | apt install arjun |
Temel GET parametre taraması | arjun -u "http://testphp.vulnweb.com/listproducts.php" |
POST metodu ile parametre taraması | arjun -u "http://testphp.vulnweb.com/listproducts.php" -m POST |
Cookie kullanarak (oturumlu) tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -c "PHPSESSID=test123" |
Header ekleyerek tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -H "User-Agent: Mozilla/5.0" |
Authorization header ile tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -H "Authorization: Bearer testtoken" |
Bilinen parametreleri hariç tutarak tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -e id,cat,page |
Özel wordlist ile tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -w myparams.txt |
Thread sayısını artırarak hızlı tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -t 20 |
Detaylı (verbose) modda tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -v |
Sonuçları dosyaya kaydetme | arjun -u "http://testphp.vulnweb.com/listproducts.php" -o results.txt |
Yavaş tarama (WAF / rate limit için) | arjun -u "http://testphp.vulnweb.com/listproducts.php" --delay 3 |
Stabil mod (false positive azaltma) | arjun -u "http://testphp.vulnweb.com/listproducts.php" --stable |
JSON body modunda deneme (API simülasyonu için) | arjun -u "http://testphp.vulnweb.com/listproducts.php" -m POST --json |
Exploring hidden vulnerabilities in websites highlights how important technical awareness has become across different industries. Security practices are not limited to IT teams, as professionals in other fields increasingly rely on digital platforms and data-driven systems in their daily work. A strong understanding of specialised areas such as quantity surveying courses uk can also help professionals adapt to modern construction environments where software, documentation, and online collaboration tools play a growing role. Combining technical awareness with industry expertise creates a more resilient approach to managing digital risks.
Thanks for publishing such an informative post. Electrical systems deserve regular attention, especially in older homes where hidden issues may exist. Anyone searching for New Wiring services near me should always work with experienced professionals who understand local requirements.
What stood out to me is how cleanup services can simplify large projects. Professional junk removal in Forest Green, MO is especially helpful when clearing out garages, basements, or properties that have accumulated years of unused or damaged items.
Proper tree trimming helps improve sunlight exposure, safety, and overall landscape appearance. I found the recommendations shared in this article very helpful. Choosing Tree Trimming Services In Fort Branch, IN can support healthier trees and cleaner outdoor spaces.
I really enjoyed this post. Proper rug protection is essential for maintaining appearance and durability over time. Quality rug protection services can help safeguard rugs from wear, spills, and everyday use. The information shared here is valuable and relevant for homeowners seeking long-term care solutions.