HTTP 参数发现套件
项目描述
阿琼
HTTP 参数发现套件
什么是阿琼？
Arjun 可以找到 URL 端点的查询参数。如果你不明白这意味着什么，没关系，请继续阅读。
Web 应用程序使用参数（或查询）来接受用户输入，考虑以下示例
http://api.example.com/v1/userinfo?id=751634589
这个 URL 似乎加载了特定用户 id 的用户信息，但是如果存在一个名为adminwhich 当设置为True使端点提供有关用户的更多信息的参数怎么办？
这就是 Arjun 所做的，它使用包含 10,985 个参数名称的巨大默认字典找到有效的 HTTP 参数。
最好的部分？通过这个庞大的列表只需不到 10 秒的时间，同时向目标发出 20-30 个请求。方法如下。
为什么是阿琼？
- 支持
GET/POST/POST-JSON/POST-XML请求 - 自动处理速率限制和超时
- 将结果导出到：BurpSuite、文本或 JSON 文件
- 从以下位置导入目标：BurpSuite、文本文件或原始请求文件
- 可以被动地从 JS 或 3 个外部源中提取参数
安装 Arjun
您可以arjun使用 pip 安装，如下所示：
pip3 install arjun
或者，通过下载此存储库并运行
python3 setup.py install
如何使用阿琼？
Wiki 的使用部分提供了详细的使用指南。
下面给出了一些基本选项的直接链接：
或者，您可以使用该--help参数自行探索 Arjun。
学分
参数名称词表是通过从CommonCrawl数据集中提取顶级参数名称并将SecLists和param-miner词表中的最佳词合并到其中来创建的。
special.jsonwordlist 取自data-payloads。
