Web Sitelerindeki Gizli Arka Kapıları Arjun ile Ortaya Çıkarıyoruz
Arkadaşlar merhaba, bu videoda sizlere web uygulamalarında gizli parametrelerin keşfi konusunu ele alacağız. Ancak önce çok kritik bir soruya cevap verelim: Gizli parametreleri tespit etmek neden bu kadar önemli?
Web uygulamalarında görünen parametreler, zaten son kullanıcıya sunulmuş ve çoğu zaman çeşitli güvenlik kontrolleriyle sınırlandırılmış yapılardır. Ancak işin arka planında, geliştiriciler tarafından debug amacıyla unutulmuş parametreler, yetki kontrolü yapan gizli değişkenler, admin fonksiyonlarını tetikleyen özel parametreler veya “nasıl olsa kimse görmez” düşüncesiyle bırakılmış arka kapılar bulunabilir.
İşte tam da bu yüzden, bir web pentest çalışmasının keşif (recon) aşamasında gizli parametrelerin tespiti, sistemi gerçekten anlamak ve kritik zafiyetlere giden yolu açmak açısından son derece hayati bir adımdır.
Bu noktada karşımıza çıkan Arjun aracı; GET ve POST parametreleri başta olmak üzere, arayüzde görünmeyen ama arka planda çalışan gizli değişkenleri tespit etmeye yarayan, akıllı bir brute-force ve analiz aracıdır.
Arjun tek başına doğrudan bir exploit gerçekleştirmez. Ancak yaptığı tespitler sayesinde çok kritik kapıları aralayabilir. Örneğin:
IDOR (Yetkisiz Nesne Erişimi) açıkları
Yetki yükseltme zafiyetleri
Test veya debug modlarını açan gizli parametreler
Gizli filtreleme veya bypass parametreleri
İş mantığı (Business Logic) hataları
Admin fonksiyonlarını tetikleyen gizli değişkenler
Bunların tamamı, Arjun’un dolaylı olarak ortaya çıkarabileceği yüksek etki değerine sahip güvenlik problemleridir.
Peki Arjun bu işlemi nasıl yapıyor?
Arjun, içinde parametre isimleri bulunan özel bir wordlist kullanarak hedef sisteme yüzlerce hatta binlerce istek gönderir. Ardından gelen cevapların:
HTTP durum kodlarını
İçeriklerini
Boyutlarını
Davranış farklılıklarını
birbirleriyle karşılaştırarak hangi parametrenin uygulamanın davranışını değiştirdiğini analiz eder ve bu şekilde gizli parametreleri ortaya çıkarır.
İşlem | Komut |
Kurmak için | apt install arjun |
Temel GET parametre taraması | arjun -u "http://testphp.vulnweb.com/listproducts.php" |
POST metodu ile parametre taraması | arjun -u "http://testphp.vulnweb.com/listproducts.php" -m POST |
Cookie kullanarak (oturumlu) tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -c "PHPSESSID=test123" |
Header ekleyerek tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -H "User-Agent: Mozilla/5.0" |
Authorization header ile tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -H "Authorization: Bearer testtoken" |
Bilinen parametreleri hariç tutarak tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -e id,cat,page |
Özel wordlist ile tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -w myparams.txt |
Thread sayısını artırarak hızlı tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -t 20 |
Detaylı (verbose) modda tarama | arjun -u "http://testphp.vulnweb.com/listproducts.php" -v |
Sonuçları dosyaya kaydetme | arjun -u "http://testphp.vulnweb.com/listproducts.php" -o results.txt |
Yavaş tarama (WAF / rate limit için) | arjun -u "http://testphp.vulnweb.com/listproducts.php" --delay 3 |
Stabil mod (false positive azaltma) | arjun -u "http://testphp.vulnweb.com/listproducts.php" --stable |
JSON body modunda deneme (API simülasyonu için) | arjun -u "http://testphp.vulnweb.com/listproducts.php" -m POST --json |
A level 4 management course can support career development for construction professionals working towards greater management responsibility. Site management training provides knowledge relevant to project coordination and daily operations. The College of Contract Management offers a suitable course option.
Having access to professional towing can provide reassurance when a vehicle cannot safely continue driving. Car Towing Service In Sacramento CA is a useful Sacramento resource for motorists facing unexpected transportation challenges.
This is a good reminder that the condition of a car does not tell the entire story when determining scrap value. Materials, weight, and potentially reusable components can all play a role. Before accepting an offer, vehicle owners can use a Car Scrap Value Calculator to get a general idea of what factors may influence the vehicle’s value.
Security cameras can provide homeowners with a better way to stay aware of activity around their property, but the installation should be approached thoughtfully. Identifying priority areas first can help create a more practical system and avoid unnecessary coverage. Anyone planning a residential security project may benefit from researching Residential Security Camera Installation in Corpus Christi, TX before selecting equipment.
Studying a facilities manager course helps strengthen knowledge of maintenance planning and workplace efficiency. The College of Contract Management offers flexible online learning supported by industry professionals.