POST /reset-password?token=x0x0x0&source=app HTTP/1.1
Host: 127.0.0.1:8082
User-Agent: Go-http-client/1.1
Cookie: PHPSESSID=1234567890
Content-Length: 23
Content-Type: application/json
Accept-Encoding: gzip
Connection: close

{"password":"12345678"}

http:
    ...
    payloads:
      injection:          # В этом разделе перечисляем полезные нагрузки
        - "'"
        ...
    fuzzing:
      - part: query       # Указываем какую часть запроса менять: query, path, header, cookie, body
        type: postfix     # Указываем одно из правил: prefix, postfix, replace, infix,replace-regex
        mode: single      # Указываем режим мутации: single, multiple
        fuzz:
          - '{{injection}}' # Переменная нагрузки 

DSL - продвинутая фильтрация, с помощью, которой мы можем проверять длину запроса, статус код, хедеры, body и даже raw данные

  - filters:
      - type: dsl
        dsl:
          - method == POST
          - len(body) > 0
        condition: and

http:
    # в начале мы отсеиваем запросы по перечисленным параметрам
  - filters:
      - type: dsl
        dsl:
          - method == POST
          - len(body) > 0
        condition: and
    # тут указываем полезные нагрузки
    payloads:
      injection:
        - "'"
        - "\""
        - ";"
    # fuzzing rules
    fuzzing:
      - part: body  # Говорим нукле тыкать body
        type: postfix # Добавляем нагрузку в конце значения
        mode: single  # Говорим добавлять нагрузку только 1 раз
        fuzz:
          - '{{injection}}' # Вызываем полезные нагрузки из переменной