1. 项目概述当SQL注入遇上前端AES加密在渗透测试和Web安全研究领域SQL注入是一个老生常谈却又历久弥新的经典漏洞。传统的SQL注入测试无论是手工还是借助Sqlmap这样的自动化神器其前提都是我们能清晰地看到并操控发送到服务器的参数。然而随着前端安全意识的提升越来越多的应用开始在前端对敏感参数如登录凭据、查询条件进行加密其中AES加密因其安全性和标准化成为常见选择。这就给安全测试人员带来了一个直观的难题你看到的请求参数是一串毫无意义的密文传统的注入测试工具直接“懵了”因为它们无法理解这串密文背后的逻辑。这个项目要解决的正是这个“黑盒”难题。它的核心思路不是去破解AES加密那在有限时间内通常不现实而是巧妙地搭建一个“桥梁”让前端的加密流程在我们的可控环境中重现从而让Sqlmap能够像处理明文一样对加密后的参数进行自动化注入测试。整个方案的主角是Yakit和Sqlmap。Yakit在这里扮演了“流量枢纽”和“逻辑处理器”的角色它不仅能拦截和修改HTTPS流量更能通过其强大的MITM中间人和插件能力动态地处理加密与解密逻辑。而Sqlmap则继续发挥其作为SQL注入探测“王者”的威力只不过这次它发送的Payload会先经过我们搭建的“加密桥梁”进行处理。简单来说这个教程适合所有遇到前端加密参数却不知如何下手的渗透测试人员、安全研究人员以及想要深化Web安全实战技能的学习者。你将学会如何将两个顶级工具联动起来形成一个闭环的自动化测试工作流从而高效地解决前端加密场景下的SQL注入漏洞挖掘问题。这不仅仅是工具的使用更是一种实战思路的贯通。2. 核心思路与工具链设计解析面对前端AES加密最直接的笨办法是找到前端加密的JavaScript代码然后手动编写脚本在每次发送Payload前先加密。这种方法效率低下且难以应对复杂的交互流程。而我们的联动方案其精妙之处在于将加解密过程无缝嵌入到HTTP请求的生命周期中对Sqlmap而言整个过程是完全透明的。2.1 整体工作流设计整个测试流程可以抽象为以下几个核心步骤理解这个流程是成功的关键环境架设与代理配置首先我们需要让目标应用的流量都经过Yakit。这通常意味着要将测试浏览器或整个系统的代理设置为Yakit监听的地址如127.0.0.1:8083。同时为了让Yakit能解密HTTPS流量需要在其MITM功能中安装并信任根证书。加密逻辑捕获与分析通过Yakit拦截浏览器与目标网站的交互特别是触发加密参数的那个请求例如一个搜索或登录请求。在Yakit的“HTTP History”中我们可以查看请求和响应。关键是要找到加密的入口通常是某个特定的JavaScript文件其中包含了CryptoJS.AES.encrypt或类似的方法调用。我们需要分析出加密模式如CBC、ECB、密钥Key、初始向量IV以及填充方式如PKCS7。Yakit插件编写与挂载这是核心中的核心。我们需要编写一个Yak插件这个插件需要实现两个核心函数一个用于将Sqlmap发出的明文Payload加密成密文另一个可选但推荐用于将服务器返回的密文响应解密成明文以便Sqlmap能正确识别注入结果。插件通过Yakit的“MITM插件”或“流量替换”功能挂载到特定的URL路径上。Sqlmap配置与启动最后配置Sqlmap指向Yakit作为代理--proxyhttp://127.0.0.1:8083。Sqlmap会像往常一样生成各种测试Payload但这些Payload在离开Sqlmap、经过Yakit代理时会被我们的插件动态地加密然后以正确的密文格式发送给目标服务器。服务器的响应再经由Yakit解密后返回给Sqlmap。2.2 为什么选择YakitSqlmap这个组合市面上代理工具很多如Burp Suite、Charles为什么偏偏是Yakit原生深度集成与可编程性Yakit基于Yak语言构建其插件系统与代理引擎是原生深度集成的。编写一个处理HTTP请求/响应体的插件非常直接它提供了hijackRequest和hijackResponse等原生函数可以精准地操作流量。相比之下用Burp Suite的Extender APIJava或编写Python插件在实时性、易调试性上有时不如Yakit流畅。对HTTPS流量的友好支持Yakit的MITM证书安装流程对新手更友好一键生成和安装避免了浏览器或系统级证书信任的一些繁琐问题。“一站式”工作台Yakit本身也集成了漏洞检测、端口扫描、爬虫等功能在分析目标站点结构、寻找注入点时也能提供辅助减少了工具切换的上下文成本。而Sqlmap无需多言它是SQL注入自动化检测的事实标准拥有最全的Payload库、最优的检测逻辑以及绕过WAF的各种技巧。我们的目标就是让Sqlmap的强大能力能够穿透前端加密这层“盔甲”。2.3 关键挑战与应对策略这个方案听起来顺畅但在实操中会遇到几个关键挑战加密密钥的获取密钥可能硬编码在JS中也可能通过更复杂的方式生成。我们的首要任务就是通过静态分析JS代码和动态调试浏览器开发者工具的Sources面板来定位密钥。有时密钥是固定的有时可能与时间戳或用户会话有关需要具体分析。加密模式的确认AES有ECB、CBC等多种模式不同的模式直接影响加密结果。必须通过分析JS代码查找mode: CryptoJS.mode.CBC等参数或通过已知明文-密文对进行验证来确认。数据格式的处理前端加密后的数据在发送时可能被编码如Base64、Hex后放在POST的Body中如dataBase64EncodedCipherText也可能作为JSON的一个字段如{encryptedData: ...}。我们的插件必须精确模拟这种格式。注意此方法仅用于授权安全测试。它的本质是在我们可控的代理层模拟了客户端的加密行为并未破解加密算法本身。加密的安全性依然取决于密钥的保密性和算法参数的正确使用。3. 实战环境搭建与前置准备工欲善其事必先利其器。在开始编写插件和联动测试之前一个干净、可复现的测试环境至关重要。这里我将以测试一个假设的 vulnerable.com 网站为例其搜索功能search接口的keyword参数使用了前端AES-CBC-PKCS7加密。3.1 工具安装与基础配置Yakit安装与启动 从Yakit官网下载最新版本安装过程简单。首次启动后你需要关注两个核心面板“MITM” 和 “插件仓库”。开启MITM服务器进入“MITM”功能页点击“启动”按钮。默认监听127.0.0.1:8083。记录下这个地址和端口。安装根证书在MITM页面有“下载CA证书”的选项。下载后根据你的操作系统安装并信任该证书。这是解密HTTPS流量的关键步骤。以Windows为例需要将证书导入到“受信任的根证书颁发机构”。配置代理将你的浏览器或系统全局代理设置为HTTP/HTTPS: 127.0.0.1:8083。推荐使用浏览器插件如SwitchyOmega进行灵活切换避免影响其他网络活动。Sqlmap安装 Sqlmap通常是一个Python脚本确保你的系统已安装Python 2.7或3.x。从GitHub克隆或下载稳定版在命令行中进入其目录即可使用。为了后续联动建议先单独运行一次python sqlmap.py -h确保环境正常。3.2 目标分析捕获并解析加密逻辑这是整个流程中最需要耐心和技巧的一步。正常操作触发加密请求在配置好代理的浏览器中访问https://vulnerable.com进行一次搜索操作比如输入“test”并点击搜索。在Yakit中捕获请求切换到Yakit的“HTTP History”标签页你应该能看到浏览器发出的所有请求。找到那个向/api/search或类似路径发送的POST请求。分析请求负载点击该请求查看其请求体Request。你很可能看到类似dataU2FsdGVkX1...很长一串Base64或{cipher:U2FsdGVkX1...}的内容。这就是加密后的参数。追踪加密源头在Yakit的请求详情页面查看“Response”或切换到“Web Fuzzer”重放请求时可以查看浏览器加载的JS文件。更有效的方法是使用浏览器的开发者工具F12。在Network面板中找到那个请求点击查看其“Initiator”标签它能追踪是哪个JS文件发起了这个请求。在该JS文件中搜索encrypt、AES、CryptoJS等关键词。你会找到类似下面的代码片段function encryptData(word) { var key CryptoJS.enc.Utf8.parse(1234567890123456); // 16字节密钥 var iv CryptoJS.enc.Utf8.parse(abcdefghijklmnop); // 16字节IV var srcs CryptoJS.enc.Utf8.parse(word); var encrypted CryptoJS.AES.encrypt(srcs, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 }); return CryptoJS.enc.Base64.stringify(encrypted.ciphertext); }验证加密逻辑记录下key、iv、mode、padding以及输出格式这里是Base64。你可以写一个简单的Python或Node.js脚本或者直接在浏览器控制台用相同的参数加密一个字符串看结果是否与捕获的请求一致以确认你的分析无误。实操心得很多时候密钥可能不是明文而是通过其他函数计算得出。这时需要仔细阅读JS代码可能涉及对某个固定字符串的MD5取前16位或者与后端返回的某个token进行组合。动态调试在加密函数入口打上断点是解决复杂情况的有效手段。4. 核心环节Yakit插件编写与挂载掌握了加密逻辑我们就可以动手编写让整个流程自动化的Yakit插件了。Yakit插件使用Yak语言编写语法类似Go学习成本不高。4.1 插件代码结构与解析下面是一个针对上述AES-CBC加密场景的完整插件示例。我们将它保存为aes_proxy.yak。// 定义插件元信息 yakit.AutoInitYakitFilter( AES加密参数代理插件, // 插件名称 用于自动加密Sqlmap发出的明文Payload以测试前端AES加密的SQL注入点, // 描述 技术宅, // 作者 // 引入必要的库 import ( crypto/aes crypto/cipher encoding/base64 strings strconv ) // 全局定义从JS中分析出的加密参数 var ( aesKey []byte(1234567890123456) // 密钥16字节对应AES-128 aesIV []byte(abcdefghijklmnop) // 初始向量16字节 ) // PKCS7填充 func pkcs7Padding(ciphertext []byte, blockSize int) []byte { padding : blockSize - len(ciphertext)%blockSize padtext : bytes.Repeat([]byte{byte(padding)}, padding) return append(ciphertext, padtext...) } // PKCS7去填充 func pkcs7UnPadding(origData []byte) []byte { length : len(origData) unpadding : int(origData[length-1]) return origData[:(length - unpadding)] } // AES-CBC加密函数 func aesCbcEncrypt(plainText string) (string, error) { block, err : aes.NewCipher(aesKey) if err ! nil { return , err } // 对明文进行PKCS7填充 plainBytes : []byte(plainText) blockSize : block.BlockSize() plainBytes pkcs7Padding(plainBytes, blockSize) // CBC模式加密 cipherText : make([]byte, len(plainBytes)) mode : cipher.NewCBCEncrypter(block, aesIV) mode.CryptBlocks(cipherText, plainBytes) // 返回Base64编码的密文 return base64.StdEncoding.EncodeToString(cipherText), nil } // AES-CBC解密函数用于解密响应可选 func aesCbcDecrypt(cipherText string) (string, error) { cipherBytes, err : base64.StdEncoding.DecodeString(cipherText) if err ! nil { return , err } block, err : aes.NewCipher(aesKey) if err ! nil { return , err } if len(cipherBytes)%block.BlockSize() ! 0 { return , errors.New(ciphertext is not a multiple of the block size) } mode : cipher.NewCBCDecrypter(block, aesIV) plainBytes : make([]byte, len(cipherBytes)) mode.CryptBlocks(plainBytes, cipherBytes) // 去除PKCS7填充 plainBytes pkcs7UnPadding(plainBytes) return string(plainBytes), nil } // 主函数劫持请求 hijackRequest func(req *http.Request) *http.Request { // 只处理目标URL避免影响其他流量 if req.URL.Path /api/search req.Method POST { // 获取原始请求体 bodyBytes, err : ioutil.ReadAll(req.Body) if err ! nil { return req // 出错则原样返回 } defer req.Body.Close() originalBody : string(bodyBytes) // 假设原始请求体是 JSON: {keyword: 明文关键词} // 我们需要解析JSON加密keyword字段再重组JSON // 这里简化处理假设请求体就是 keyword明文 的form格式 if strings.HasPrefix(originalBody, keyword) { plainText : strings.TrimPrefix(originalBody, keyword) plainText, _ url.QueryUnescape(plainText) // 解码URL编码 // 调用加密函数 encryptedText, err : aesCbcEncrypt(plainText) if err nil { // 构建新的加密后请求体格式需与原请求一致 // 例如原格式为 data密文则替换为 newBody : data url.QueryEscape(encryptedText) // 将新请求体设置回去 req.Body ioutil.NopCloser(strings.NewReader(newBody)) req.ContentLength int64(len(newBody)) // 注意如果原请求是JSON这里需要修改Content-Type并构建JSON字符串 // req.Header.Set(Content-Type, application/json) // newBody {encryptedData: encryptedText } } } // 更复杂的情况可能是JSON格式需要解析、修改特定字段、再序列化 // 可以使用 json 库来处理 } return req } // 可选劫持响应将密文响应解密后返回给Sqlmap // 这有助于Sqlmap更好地识别布尔盲注或时间盲注的差异 hijackResponse func(rsp *http.Response) *http.Response { if rsp.Request.URL.Path /api/search { // 读取响应体 bodyBytes, _ : ioutil.ReadAll(rsp.Body) defer rsp.Body.Close() originalBody : string(bodyBytes) // 假设响应也是加密的JSON如 {result: 密文} // 这里需要根据实际情况解析并解密 // 解密后替换响应体 // decryptedBody : ... // rsp.Body ioutil.NopCloser(strings.NewReader(decryptedBody)) // rsp.ContentLength int64(len(decryptedBody)) } return rsp } , )代码关键点解析加密函数aesCbcEncrypt函数完全复现了前端JavaScript的加密逻辑CBC模式PKCS7填充Base64输出。确保这里的aesKey和aesIV与前端分析结果一致。请求劫持 (hijackRequest)这是插件的核心。它检查每个经过Yakit的请求。当发现目标请求/api/search且为POST时它会读取原始请求体。然后它需要根据请求的实际格式来解析出明文参数。示例中是Form格式我们假设原始Sqlmap发出的请求是keywordPAYLOAD格式。插件提取PAYLOAD加密它然后按照目标服务器接受的格式示例中是dataENCRYPTED_PAYLOAD重新组装请求体。如果是JSON格式你需要使用Yak的json库或encoding/json来反序列化原始请求体找到对应的字段如requestData.keyword加密该字段的值再重新序列化为JSON字符串并更新Content-Type头。响应劫持 (hijackResponse)这部分是可选的但对于布尔盲注、时间盲注等需要依赖响应内容差异的判断的注入类型非常有用。如果服务器返回的响应主体也是加密的Sqlmap将无法识别其中的差异。此时我们可以在此函数中将响应体解密再将明文返回给Sqlmap极大提高检测成功率。实现逻辑与请求劫持类似但方向相反。4.2 插件加载与激活在Yakit中进入“插件仓库”。点击“加载本地插件”选择你刚刚保存的aes_proxy.yak文件。加载成功后在插件列表中找到它。你需要“启用”该插件。最关键的一步进入“MITM”页面找到“插件配置”或“过滤器”相关选项。将我们编写并启用的AES加密参数代理插件添加到当前MITM会话的过滤器中。这样所有流经Yakit代理的流量都会经过这个插件的处理。实操心得编写插件时最易出错的地方是请求/响应格式的处理。务必使用Yakit的“Web Fuzzer”功能进行手动测试先复制一个正常的加密请求到Fuzzer然后尝试用插件处理一个修改过的明文请求看发送出去的请求是否与正常加密请求格式完全一致。同时开启Yakit的日志功能在插件中加入log.info(...)语句打印中间变量是调试的利器。5. Sqlmap联动配置与自动化测试Yakit插件就绪后Sqlmap的配置就相对简单了其核心思想是“欺骗”Sqlmap让它以为自己在和一个普通的、未加密的网站交互。5.1 Sqlmap命令行参数详解打开命令行进入Sqlmap目录一个典型的联动测试命令如下python sqlmap.py -u http://vulnerable.com/api/search --datakeywordtest --proxyhttp://127.0.0.1:8083 --level3 --risk2 --batch让我们拆解这些参数理解其背后的意图-u http://vulnerable.com/api/search指定目标URL。这里有一个至关重要的技巧我们通常应该使用HTTP协议而非 HTTPS。因为Yakit已经在中间承担了HTTPS解包和重新加密的工作Sqlmap直接与Yakit的HTTP代理端口通信即可。如果这里写HTTPS可能会引起不必要的证书问题。--datakeywordtest这是POST请求的数据。这里的keywordtest是明文。test这个值可以是任意值它只是一个触发点。我们的Yakit插件会识别到keyword这个参数并将其值test以及后续Sqlmap生成的所有Payload替换为加密后的密文。参数格式必须与插件中hijackRequest函数解析的格式匹配例如如果是JSON这里应改为--data{keyword:test}。--proxyhttp://127.0.0.1:8083指向Yakit的代理服务器。这是联动的桥梁所有Sqlmap的请求都将通过Yakit发出。--level3 --risk2提高检测级别和风险等级以进行更深入的测试。--batch以非交互模式运行自动选择默认选项适合自动化。其他实用参数--cookiesessionidxxx如果目标需要登录带上有效的Cookie。--headersUser-Agent: Sqlmap/1.0可以自定义请求头。--tamperSqlmap的篡改脚本在我们的场景下通常不需要因为加密操作已由Yakit插件完成。除非你需要对明文Payload进行额外的编码或混淆。--flush-session如果之前测试过强制清除本地缓存重新测试。--dbs如果检测到注入直接尝试枚举数据库。5.2 完整测试流程演示启动Yakit MITM确保Yakit的MITM服务器正在运行127.0.0.1:8083并且我们的AES加密参数代理插件已正确加载并启用。执行Sqlmap命令在命令行中运行上述配置好的Sqlmap命令。观察过程在Sqlmap终端你会看到它开始发送测试请求。如果你在Yakit的“HTTP History”中查看会发现Sqlmap发出的请求其data字段或对应参数已经是加密后的密文了。而请求的URL可能显示为http://vulnerable.com/api/search因为走的是Yakit代理的HTTP通道。Yakit插件在后台实时工作将每个keywordPAYLOAD加密成dataENCRYPTED_PAYLOAD。服务器接收到的是合法的加密请求并返回响应。响应再流经Yakit返回给Sqlmap。结果分析如果目标存在SQL注入漏洞Sqlmap将成功识别并报告。整个过程Sqlmap完全感知不到加密的存在它就像在测试一个普通的接口一样。5.3 高级场景与参数调优处理JSON格式请求如果目标接口接收JSON如{query: 加密数据}你的Yakit插件需要解析JSON。Sqlmap的命令行参数应设置为--data{query:test} --headersContent-Type: application/json。插件则需要解析这个JSON加密query字段的值。处理动态密钥或Token有些应用可能每次会话使用不同的密钥或需要额外的Token。这需要更复杂的插件逻辑可能在hijackResponse中捕获服务器返回的Token并在hijackRequest中用于计算加密参数。甚至可能需要维护一个简单的状态。布尔盲注/时间盲注的响应处理对于盲注服务器返回的差异可能体现在一个加密的JSON字段中。此时hijackResponse函数至关重要。你需要解密服务器返回的特定字段如result或status将其转换为Sqlmap能理解的明文状态如true/false或1/0再返回给Sqlmap。这能极大提升盲注的检测效率。注意事项在测试过程中务必密切关注Yakit的“HTTP History”中服务器返回的错误信息。如果插件加密逻辑有误服务器可能会返回“解密失败”等错误。这时需要回到插件调试环节检查密钥、IV、模式、填充以及数据格式是否完全正确。6. 常见问题排查与实战技巧即使按照教程一步步操作也难免会遇到各种问题。这里我总结了一些实战中常见的“坑”及其解决方案。6.1 问题速查表问题现象可能原因排查步骤与解决方案Sqlmap报告“所有参数似乎都不注入”1. Yakit代理未正确设置或未启动。2. Yakit插件未生效未启用或未添加到MITM过滤器。3. 插件加密逻辑错误服务器无法解密。4. 请求格式如JSON/Form与插件处理逻辑不匹配。1. 检查浏览器/系统代理设置确认流量经过Yakit查看HTTP History是否有Sqlmap的请求。2. 在Yakit插件列表确认插件已“启用”并在MITM设置中确认插件已添加到活动过滤器。3. 在Yakit插件中加入调试日志输出加密前后的数据对比与正常请求的差异。用Web Fuzzer手动测试插件。4. 使用Burp Suite或浏览器开发者工具捕获一次正常的加密请求仔细比对请求头Content-Type和请求体格式。服务器返回“解密错误”或类似500状态码1. AES密钥(Key)或初始向量(IV)错误。2. 加密模式CBC/ECB或填充方式PKCS7/NoPadding不匹配。3. 加密后的数据编码方式Base64/Hex不对。4. 请求体结构被破坏例如多余的换行、空格。1. 重新审查前端JS代码确认Key和IV的原始字符串和编码通常是UTF8。2. 确认JS中CryptoJS.mode和CryptoJS.pad的设置。PKCS7填充是最常见的。3. 确认JS加密后是调用.toString(CryptoJS.enc.Base64)还是.toString()默认Hex。4. 在插件中确保构建的新请求体与原请求格式完全一致特别是URL编码部分。Sqlmap能检测到注入但无法获取数据如--dbs失败1. 响应劫持(hijackResponse)未实现或逻辑错误Sqlmap无法从加密响应中解析出数据。2. 目标WAF或防护设备拦截了Sqlmap的特定Payload。3. 注入点权限较低无法执行系统级命令。1. 实现并调试hijackResponse函数确保返回给Sqlmap的是解密后的明文响应。查看Sqlmap的-v 3以上级别日志看它接收到的响应是什么。2. 尝试使用Sqlmap的--tamper脚本如space2comment对明文Payload进行轻度混淆再经Yakit加密。注意tamper作用于Yakit加密之前。3. 这可能是注入点本身的限制尝试使用--technique指定其他注入技术如B/E/T分别代表布尔、报错、时间盲注。Yakit插件导致其他网站访问异常插件中的hijackRequest函数没有做好URL过滤处理了所有流量。在插件函数开头严格限制只处理目标URLreq.URL.Host和req.URL.Path。对于非目标请求直接return req原样放行。HTTPS请求失败证书错误1. Yakit的根证书未在系统或浏览器中信任。2. 某些应用如移动端APP有证书绑定SSL Pinning。1. 重新下载并安装Yakit的CA证书到“受信任的根证书颁发机构”。2. 对于证书绑定需要更高级的绕过手段如使用Frida等工具这超出了本教程范围。通常测试Web端不会遇到此问题。6.2 独家避坑技巧与心得从简单到复杂不要一开始就挑战最复杂的JSON嵌套加密。找一个简单的、Form格式提交的加密参数作为练习目标例如某些老旧的管理后台。成功一次能建立完整的信心和理解。善用Yakit的“Web Fuzzer”进行单元测试在编写插件时将捕获到的正常加密请求复制到Web Fuzzer中。然后在Fuzzer中手动修改原始明文并启用你的插件观察发送出去的请求是否与正常请求除密文外完全一致包括请求头、参数名等。这是最高效的调试方法。关注加密前的原始值前端JS在加密前可能对用户输入进行了额外的处理如Trim去空格、转义或者拼接了其他固定字符串。务必在浏览器的加密函数入口打上断点查看最终被加密的字符串到底是什么这能避免因数据预处理不一致导致的失败。Sqlmap的--proxy和--tamper顺序记住--tamper脚本是在Sqlmap生成Payload后、发送请求前执行的。而我们的Yakit代理是在请求离开Sqlmap之后才进行处理。因此流程是Sqlmap生成Payload - Tamper脚本混淆 - 发送到Yakit代理 - Yakit插件加密 - 发送到目标服务器。如果需要绕过WAF应在Tamper脚本中处理明文Payload的特征。保持环境纯净测试时最好使用无痕浏览器模式并清理Cookie避免旧的会话状态干扰。对于需要登录的系统先手动完成登录获取有效的Cookie后再配置到Sqlmap中。这个从加密到注入的联动方案其精髓在于“以子之矛攻子之盾”。我们并不挑战AES算法本身的安全性而是通过自动化重现客户端的加密行为让传统的注入测试工具重获新生。掌握这套方法你将能从容应对越来越多采用前端加密的Web应用测试场景在授权的安全评估中发挥关键作用。 前端AES加密场景下SQL注入自动化测试：Yakit与Sqlmap联动实战
1. 项目概述当SQL注入遇上前端AES加密在渗透测试和Web安全研究领域SQL注入是一个老生常谈却又历久弥新的经典漏洞。传统的SQL注入测试无论是手工还是借助Sqlmap这样的自动化神器其前提都是我们能清晰地看到并操控发送到服务器的参数。然而随着前端安全意识的提升越来越多的应用开始在前端对敏感参数如登录凭据、查询条件进行加密其中AES加密因其安全性和标准化成为常见选择。这就给安全测试人员带来了一个直观的难题你看到的请求参数是一串毫无意义的密文传统的注入测试工具直接“懵了”因为它们无法理解这串密文背后的逻辑。这个项目要解决的正是这个“黑盒”难题。它的核心思路不是去破解AES加密那在有限时间内通常不现实而是巧妙地搭建一个“桥梁”让前端的加密流程在我们的可控环境中重现从而让Sqlmap能够像处理明文一样对加密后的参数进行自动化注入测试。整个方案的主角是Yakit和Sqlmap。Yakit在这里扮演了“流量枢纽”和“逻辑处理器”的角色它不仅能拦截和修改HTTPS流量更能通过其强大的MITM中间人和插件能力动态地处理加密与解密逻辑。而Sqlmap则继续发挥其作为SQL注入探测“王者”的威力只不过这次它发送的Payload会先经过我们搭建的“加密桥梁”进行处理。简单来说这个教程适合所有遇到前端加密参数却不知如何下手的渗透测试人员、安全研究人员以及想要深化Web安全实战技能的学习者。你将学会如何将两个顶级工具联动起来形成一个闭环的自动化测试工作流从而高效地解决前端加密场景下的SQL注入漏洞挖掘问题。这不仅仅是工具的使用更是一种实战思路的贯通。2. 核心思路与工具链设计解析面对前端AES加密最直接的笨办法是找到前端加密的JavaScript代码然后手动编写脚本在每次发送Payload前先加密。这种方法效率低下且难以应对复杂的交互流程。而我们的联动方案其精妙之处在于将加解密过程无缝嵌入到HTTP请求的生命周期中对Sqlmap而言整个过程是完全透明的。2.1 整体工作流设计整个测试流程可以抽象为以下几个核心步骤理解这个流程是成功的关键环境架设与代理配置首先我们需要让目标应用的流量都经过Yakit。这通常意味着要将测试浏览器或整个系统的代理设置为Yakit监听的地址如127.0.0.1:8083。同时为了让Yakit能解密HTTPS流量需要在其MITM功能中安装并信任根证书。加密逻辑捕获与分析通过Yakit拦截浏览器与目标网站的交互特别是触发加密参数的那个请求例如一个搜索或登录请求。在Yakit的“HTTP History”中我们可以查看请求和响应。关键是要找到加密的入口通常是某个特定的JavaScript文件其中包含了CryptoJS.AES.encrypt或类似的方法调用。我们需要分析出加密模式如CBC、ECB、密钥Key、初始向量IV以及填充方式如PKCS7。Yakit插件编写与挂载这是核心中的核心。我们需要编写一个Yak插件这个插件需要实现两个核心函数一个用于将Sqlmap发出的明文Payload加密成密文另一个可选但推荐用于将服务器返回的密文响应解密成明文以便Sqlmap能正确识别注入结果。插件通过Yakit的“MITM插件”或“流量替换”功能挂载到特定的URL路径上。Sqlmap配置与启动最后配置Sqlmap指向Yakit作为代理--proxyhttp://127.0.0.1:8083。Sqlmap会像往常一样生成各种测试Payload但这些Payload在离开Sqlmap、经过Yakit代理时会被我们的插件动态地加密然后以正确的密文格式发送给目标服务器。服务器的响应再经由Yakit解密后返回给Sqlmap。2.2 为什么选择YakitSqlmap这个组合市面上代理工具很多如Burp Suite、Charles为什么偏偏是Yakit原生深度集成与可编程性Yakit基于Yak语言构建其插件系统与代理引擎是原生深度集成的。编写一个处理HTTP请求/响应体的插件非常直接它提供了hijackRequest和hijackResponse等原生函数可以精准地操作流量。相比之下用Burp Suite的Extender APIJava或编写Python插件在实时性、易调试性上有时不如Yakit流畅。对HTTPS流量的友好支持Yakit的MITM证书安装流程对新手更友好一键生成和安装避免了浏览器或系统级证书信任的一些繁琐问题。“一站式”工作台Yakit本身也集成了漏洞检测、端口扫描、爬虫等功能在分析目标站点结构、寻找注入点时也能提供辅助减少了工具切换的上下文成本。而Sqlmap无需多言它是SQL注入自动化检测的事实标准拥有最全的Payload库、最优的检测逻辑以及绕过WAF的各种技巧。我们的目标就是让Sqlmap的强大能力能够穿透前端加密这层“盔甲”。2.3 关键挑战与应对策略这个方案听起来顺畅但在实操中会遇到几个关键挑战加密密钥的获取密钥可能硬编码在JS中也可能通过更复杂的方式生成。我们的首要任务就是通过静态分析JS代码和动态调试浏览器开发者工具的Sources面板来定位密钥。有时密钥是固定的有时可能与时间戳或用户会话有关需要具体分析。加密模式的确认AES有ECB、CBC等多种模式不同的模式直接影响加密结果。必须通过分析JS代码查找mode: CryptoJS.mode.CBC等参数或通过已知明文-密文对进行验证来确认。数据格式的处理前端加密后的数据在发送时可能被编码如Base64、Hex后放在POST的Body中如dataBase64EncodedCipherText也可能作为JSON的一个字段如{encryptedData: ...}。我们的插件必须精确模拟这种格式。注意此方法仅用于授权安全测试。它的本质是在我们可控的代理层模拟了客户端的加密行为并未破解加密算法本身。加密的安全性依然取决于密钥的保密性和算法参数的正确使用。3. 实战环境搭建与前置准备工欲善其事必先利其器。在开始编写插件和联动测试之前一个干净、可复现的测试环境至关重要。这里我将以测试一个假设的 vulnerable.com 网站为例其搜索功能search接口的keyword参数使用了前端AES-CBC-PKCS7加密。3.1 工具安装与基础配置Yakit安装与启动 从Yakit官网下载最新版本安装过程简单。首次启动后你需要关注两个核心面板“MITM” 和 “插件仓库”。开启MITM服务器进入“MITM”功能页点击“启动”按钮。默认监听127.0.0.1:8083。记录下这个地址和端口。安装根证书在MITM页面有“下载CA证书”的选项。下载后根据你的操作系统安装并信任该证书。这是解密HTTPS流量的关键步骤。以Windows为例需要将证书导入到“受信任的根证书颁发机构”。配置代理将你的浏览器或系统全局代理设置为HTTP/HTTPS: 127.0.0.1:8083。推荐使用浏览器插件如SwitchyOmega进行灵活切换避免影响其他网络活动。Sqlmap安装 Sqlmap通常是一个Python脚本确保你的系统已安装Python 2.7或3.x。从GitHub克隆或下载稳定版在命令行中进入其目录即可使用。为了后续联动建议先单独运行一次python sqlmap.py -h确保环境正常。3.2 目标分析捕获并解析加密逻辑这是整个流程中最需要耐心和技巧的一步。正常操作触发加密请求在配置好代理的浏览器中访问https://vulnerable.com进行一次搜索操作比如输入“test”并点击搜索。在Yakit中捕获请求切换到Yakit的“HTTP History”标签页你应该能看到浏览器发出的所有请求。找到那个向/api/search或类似路径发送的POST请求。分析请求负载点击该请求查看其请求体Request。你很可能看到类似dataU2FsdGVkX1...很长一串Base64或{cipher:U2FsdGVkX1...}的内容。这就是加密后的参数。追踪加密源头在Yakit的请求详情页面查看“Response”或切换到“Web Fuzzer”重放请求时可以查看浏览器加载的JS文件。更有效的方法是使用浏览器的开发者工具F12。在Network面板中找到那个请求点击查看其“Initiator”标签它能追踪是哪个JS文件发起了这个请求。在该JS文件中搜索encrypt、AES、CryptoJS等关键词。你会找到类似下面的代码片段function encryptData(word) { var key CryptoJS.enc.Utf8.parse(1234567890123456); // 16字节密钥 var iv CryptoJS.enc.Utf8.parse(abcdefghijklmnop); // 16字节IV var srcs CryptoJS.enc.Utf8.parse(word); var encrypted CryptoJS.AES.encrypt(srcs, key, { iv: iv, mode: CryptoJS.mode.CBC, padding: CryptoJS.pad.Pkcs7 }); return CryptoJS.enc.Base64.stringify(encrypted.ciphertext); }验证加密逻辑记录下key、iv、mode、padding以及输出格式这里是Base64。你可以写一个简单的Python或Node.js脚本或者直接在浏览器控制台用相同的参数加密一个字符串看结果是否与捕获的请求一致以确认你的分析无误。实操心得很多时候密钥可能不是明文而是通过其他函数计算得出。这时需要仔细阅读JS代码可能涉及对某个固定字符串的MD5取前16位或者与后端返回的某个token进行组合。动态调试在加密函数入口打上断点是解决复杂情况的有效手段。4. 核心环节Yakit插件编写与挂载掌握了加密逻辑我们就可以动手编写让整个流程自动化的Yakit插件了。Yakit插件使用Yak语言编写语法类似Go学习成本不高。4.1 插件代码结构与解析下面是一个针对上述AES-CBC加密场景的完整插件示例。我们将它保存为aes_proxy.yak。// 定义插件元信息 yakit.AutoInitYakitFilter( AES加密参数代理插件, // 插件名称 用于自动加密Sqlmap发出的明文Payload以测试前端AES加密的SQL注入点, // 描述 技术宅, // 作者 // 引入必要的库 import ( crypto/aes crypto/cipher encoding/base64 strings strconv ) // 全局定义从JS中分析出的加密参数 var ( aesKey []byte(1234567890123456) // 密钥16字节对应AES-128 aesIV []byte(abcdefghijklmnop) // 初始向量16字节 ) // PKCS7填充 func pkcs7Padding(ciphertext []byte, blockSize int) []byte { padding : blockSize - len(ciphertext)%blockSize padtext : bytes.Repeat([]byte{byte(padding)}, padding) return append(ciphertext, padtext...) } // PKCS7去填充 func pkcs7UnPadding(origData []byte) []byte { length : len(origData) unpadding : int(origData[length-1]) return origData[:(length - unpadding)] } // AES-CBC加密函数 func aesCbcEncrypt(plainText string) (string, error) { block, err : aes.NewCipher(aesKey) if err ! nil { return , err } // 对明文进行PKCS7填充 plainBytes : []byte(plainText) blockSize : block.BlockSize() plainBytes pkcs7Padding(plainBytes, blockSize) // CBC模式加密 cipherText : make([]byte, len(plainBytes)) mode : cipher.NewCBCEncrypter(block, aesIV) mode.CryptBlocks(cipherText, plainBytes) // 返回Base64编码的密文 return base64.StdEncoding.EncodeToString(cipherText), nil } // AES-CBC解密函数用于解密响应可选 func aesCbcDecrypt(cipherText string) (string, error) { cipherBytes, err : base64.StdEncoding.DecodeString(cipherText) if err ! nil { return , err } block, err : aes.NewCipher(aesKey) if err ! nil { return , err } if len(cipherBytes)%block.BlockSize() ! 0 { return , errors.New(ciphertext is not a multiple of the block size) } mode : cipher.NewCBCDecrypter(block, aesIV) plainBytes : make([]byte, len(cipherBytes)) mode.CryptBlocks(plainBytes, cipherBytes) // 去除PKCS7填充 plainBytes pkcs7UnPadding(plainBytes) return string(plainBytes), nil } // 主函数劫持请求 hijackRequest func(req *http.Request) *http.Request { // 只处理目标URL避免影响其他流量 if req.URL.Path /api/search req.Method POST { // 获取原始请求体 bodyBytes, err : ioutil.ReadAll(req.Body) if err ! nil { return req // 出错则原样返回 } defer req.Body.Close() originalBody : string(bodyBytes) // 假设原始请求体是 JSON: {keyword: 明文关键词} // 我们需要解析JSON加密keyword字段再重组JSON // 这里简化处理假设请求体就是 keyword明文 的form格式 if strings.HasPrefix(originalBody, keyword) { plainText : strings.TrimPrefix(originalBody, keyword) plainText, _ url.QueryUnescape(plainText) // 解码URL编码 // 调用加密函数 encryptedText, err : aesCbcEncrypt(plainText) if err nil { // 构建新的加密后请求体格式需与原请求一致 // 例如原格式为 data密文则替换为 newBody : data url.QueryEscape(encryptedText) // 将新请求体设置回去 req.Body ioutil.NopCloser(strings.NewReader(newBody)) req.ContentLength int64(len(newBody)) // 注意如果原请求是JSON这里需要修改Content-Type并构建JSON字符串 // req.Header.Set(Content-Type, application/json) // newBody {encryptedData: encryptedText } } } // 更复杂的情况可能是JSON格式需要解析、修改特定字段、再序列化 // 可以使用 json 库来处理 } return req } // 可选劫持响应将密文响应解密后返回给Sqlmap // 这有助于Sqlmap更好地识别布尔盲注或时间盲注的差异 hijackResponse func(rsp *http.Response) *http.Response { if rsp.Request.URL.Path /api/search { // 读取响应体 bodyBytes, _ : ioutil.ReadAll(rsp.Body) defer rsp.Body.Close() originalBody : string(bodyBytes) // 假设响应也是加密的JSON如 {result: 密文} // 这里需要根据实际情况解析并解密 // 解密后替换响应体 // decryptedBody : ... // rsp.Body ioutil.NopCloser(strings.NewReader(decryptedBody)) // rsp.ContentLength int64(len(decryptedBody)) } return rsp } , )代码关键点解析加密函数aesCbcEncrypt函数完全复现了前端JavaScript的加密逻辑CBC模式PKCS7填充Base64输出。确保这里的aesKey和aesIV与前端分析结果一致。请求劫持 (hijackRequest)这是插件的核心。它检查每个经过Yakit的请求。当发现目标请求/api/search且为POST时它会读取原始请求体。然后它需要根据请求的实际格式来解析出明文参数。示例中是Form格式我们假设原始Sqlmap发出的请求是keywordPAYLOAD格式。插件提取PAYLOAD加密它然后按照目标服务器接受的格式示例中是dataENCRYPTED_PAYLOAD重新组装请求体。如果是JSON格式你需要使用Yak的json库或encoding/json来反序列化原始请求体找到对应的字段如requestData.keyword加密该字段的值再重新序列化为JSON字符串并更新Content-Type头。响应劫持 (hijackResponse)这部分是可选的但对于布尔盲注、时间盲注等需要依赖响应内容差异的判断的注入类型非常有用。如果服务器返回的响应主体也是加密的Sqlmap将无法识别其中的差异。此时我们可以在此函数中将响应体解密再将明文返回给Sqlmap极大提高检测成功率。实现逻辑与请求劫持类似但方向相反。4.2 插件加载与激活在Yakit中进入“插件仓库”。点击“加载本地插件”选择你刚刚保存的aes_proxy.yak文件。加载成功后在插件列表中找到它。你需要“启用”该插件。最关键的一步进入“MITM”页面找到“插件配置”或“过滤器”相关选项。将我们编写并启用的AES加密参数代理插件添加到当前MITM会话的过滤器中。这样所有流经Yakit代理的流量都会经过这个插件的处理。实操心得编写插件时最易出错的地方是请求/响应格式的处理。务必使用Yakit的“Web Fuzzer”功能进行手动测试先复制一个正常的加密请求到Fuzzer然后尝试用插件处理一个修改过的明文请求看发送出去的请求是否与正常加密请求格式完全一致。同时开启Yakit的日志功能在插件中加入log.info(...)语句打印中间变量是调试的利器。5. Sqlmap联动配置与自动化测试Yakit插件就绪后Sqlmap的配置就相对简单了其核心思想是“欺骗”Sqlmap让它以为自己在和一个普通的、未加密的网站交互。5.1 Sqlmap命令行参数详解打开命令行进入Sqlmap目录一个典型的联动测试命令如下python sqlmap.py -u http://vulnerable.com/api/search --datakeywordtest --proxyhttp://127.0.0.1:8083 --level3 --risk2 --batch让我们拆解这些参数理解其背后的意图-u http://vulnerable.com/api/search指定目标URL。这里有一个至关重要的技巧我们通常应该使用HTTP协议而非 HTTPS。因为Yakit已经在中间承担了HTTPS解包和重新加密的工作Sqlmap直接与Yakit的HTTP代理端口通信即可。如果这里写HTTPS可能会引起不必要的证书问题。--datakeywordtest这是POST请求的数据。这里的keywordtest是明文。test这个值可以是任意值它只是一个触发点。我们的Yakit插件会识别到keyword这个参数并将其值test以及后续Sqlmap生成的所有Payload替换为加密后的密文。参数格式必须与插件中hijackRequest函数解析的格式匹配例如如果是JSON这里应改为--data{keyword:test}。--proxyhttp://127.0.0.1:8083指向Yakit的代理服务器。这是联动的桥梁所有Sqlmap的请求都将通过Yakit发出。--level3 --risk2提高检测级别和风险等级以进行更深入的测试。--batch以非交互模式运行自动选择默认选项适合自动化。其他实用参数--cookiesessionidxxx如果目标需要登录带上有效的Cookie。--headersUser-Agent: Sqlmap/1.0可以自定义请求头。--tamperSqlmap的篡改脚本在我们的场景下通常不需要因为加密操作已由Yakit插件完成。除非你需要对明文Payload进行额外的编码或混淆。--flush-session如果之前测试过强制清除本地缓存重新测试。--dbs如果检测到注入直接尝试枚举数据库。5.2 完整测试流程演示启动Yakit MITM确保Yakit的MITM服务器正在运行127.0.0.1:8083并且我们的AES加密参数代理插件已正确加载并启用。执行Sqlmap命令在命令行中运行上述配置好的Sqlmap命令。观察过程在Sqlmap终端你会看到它开始发送测试请求。如果你在Yakit的“HTTP History”中查看会发现Sqlmap发出的请求其data字段或对应参数已经是加密后的密文了。而请求的URL可能显示为http://vulnerable.com/api/search因为走的是Yakit代理的HTTP通道。Yakit插件在后台实时工作将每个keywordPAYLOAD加密成dataENCRYPTED_PAYLOAD。服务器接收到的是合法的加密请求并返回响应。响应再流经Yakit返回给Sqlmap。结果分析如果目标存在SQL注入漏洞Sqlmap将成功识别并报告。整个过程Sqlmap完全感知不到加密的存在它就像在测试一个普通的接口一样。5.3 高级场景与参数调优处理JSON格式请求如果目标接口接收JSON如{query: 加密数据}你的Yakit插件需要解析JSON。Sqlmap的命令行参数应设置为--data{query:test} --headersContent-Type: application/json。插件则需要解析这个JSON加密query字段的值。处理动态密钥或Token有些应用可能每次会话使用不同的密钥或需要额外的Token。这需要更复杂的插件逻辑可能在hijackResponse中捕获服务器返回的Token并在hijackRequest中用于计算加密参数。甚至可能需要维护一个简单的状态。布尔盲注/时间盲注的响应处理对于盲注服务器返回的差异可能体现在一个加密的JSON字段中。此时hijackResponse函数至关重要。你需要解密服务器返回的特定字段如result或status将其转换为Sqlmap能理解的明文状态如true/false或1/0再返回给Sqlmap。这能极大提升盲注的检测效率。注意事项在测试过程中务必密切关注Yakit的“HTTP History”中服务器返回的错误信息。如果插件加密逻辑有误服务器可能会返回“解密失败”等错误。这时需要回到插件调试环节检查密钥、IV、模式、填充以及数据格式是否完全正确。6. 常见问题排查与实战技巧即使按照教程一步步操作也难免会遇到各种问题。这里我总结了一些实战中常见的“坑”及其解决方案。6.1 问题速查表问题现象可能原因排查步骤与解决方案Sqlmap报告“所有参数似乎都不注入”1. Yakit代理未正确设置或未启动。2. Yakit插件未生效未启用或未添加到MITM过滤器。3. 插件加密逻辑错误服务器无法解密。4. 请求格式如JSON/Form与插件处理逻辑不匹配。1. 检查浏览器/系统代理设置确认流量经过Yakit查看HTTP History是否有Sqlmap的请求。2. 在Yakit插件列表确认插件已“启用”并在MITM设置中确认插件已添加到活动过滤器。3. 在Yakit插件中加入调试日志输出加密前后的数据对比与正常请求的差异。用Web Fuzzer手动测试插件。4. 使用Burp Suite或浏览器开发者工具捕获一次正常的加密请求仔细比对请求头Content-Type和请求体格式。服务器返回“解密错误”或类似500状态码1. AES密钥(Key)或初始向量(IV)错误。2. 加密模式CBC/ECB或填充方式PKCS7/NoPadding不匹配。3. 加密后的数据编码方式Base64/Hex不对。4. 请求体结构被破坏例如多余的换行、空格。1. 重新审查前端JS代码确认Key和IV的原始字符串和编码通常是UTF8。2. 确认JS中CryptoJS.mode和CryptoJS.pad的设置。PKCS7填充是最常见的。3. 确认JS加密后是调用.toString(CryptoJS.enc.Base64)还是.toString()默认Hex。4. 在插件中确保构建的新请求体与原请求格式完全一致特别是URL编码部分。Sqlmap能检测到注入但无法获取数据如--dbs失败1. 响应劫持(hijackResponse)未实现或逻辑错误Sqlmap无法从加密响应中解析出数据。2. 目标WAF或防护设备拦截了Sqlmap的特定Payload。3. 注入点权限较低无法执行系统级命令。1. 实现并调试hijackResponse函数确保返回给Sqlmap的是解密后的明文响应。查看Sqlmap的-v 3以上级别日志看它接收到的响应是什么。2. 尝试使用Sqlmap的--tamper脚本如space2comment对明文Payload进行轻度混淆再经Yakit加密。注意tamper作用于Yakit加密之前。3. 这可能是注入点本身的限制尝试使用--technique指定其他注入技术如B/E/T分别代表布尔、报错、时间盲注。Yakit插件导致其他网站访问异常插件中的hijackRequest函数没有做好URL过滤处理了所有流量。在插件函数开头严格限制只处理目标URLreq.URL.Host和req.URL.Path。对于非目标请求直接return req原样放行。HTTPS请求失败证书错误1. Yakit的根证书未在系统或浏览器中信任。2. 某些应用如移动端APP有证书绑定SSL Pinning。1. 重新下载并安装Yakit的CA证书到“受信任的根证书颁发机构”。2. 对于证书绑定需要更高级的绕过手段如使用Frida等工具这超出了本教程范围。通常测试Web端不会遇到此问题。6.2 独家避坑技巧与心得从简单到复杂不要一开始就挑战最复杂的JSON嵌套加密。找一个简单的、Form格式提交的加密参数作为练习目标例如某些老旧的管理后台。成功一次能建立完整的信心和理解。善用Yakit的“Web Fuzzer”进行单元测试在编写插件时将捕获到的正常加密请求复制到Web Fuzzer中。然后在Fuzzer中手动修改原始明文并启用你的插件观察发送出去的请求是否与正常请求除密文外完全一致包括请求头、参数名等。这是最高效的调试方法。关注加密前的原始值前端JS在加密前可能对用户输入进行了额外的处理如Trim去空格、转义或者拼接了其他固定字符串。务必在浏览器的加密函数入口打上断点查看最终被加密的字符串到底是什么这能避免因数据预处理不一致导致的失败。Sqlmap的--proxy和--tamper顺序记住--tamper脚本是在Sqlmap生成Payload后、发送请求前执行的。而我们的Yakit代理是在请求离开Sqlmap之后才进行处理。因此流程是Sqlmap生成Payload - Tamper脚本混淆 - 发送到Yakit代理 - Yakit插件加密 - 发送到目标服务器。如果需要绕过WAF应在Tamper脚本中处理明文Payload的特征。保持环境纯净测试时最好使用无痕浏览器模式并清理Cookie避免旧的会话状态干扰。对于需要登录的系统先手动完成登录获取有效的Cookie后再配置到Sqlmap中。这个从加密到注入的联动方案其精髓在于“以子之矛攻子之盾”。我们并不挑战AES算法本身的安全性而是通过自动化重现客户端的加密行为让传统的注入测试工具重获新生。掌握这套方法你将能从容应对越来越多采用前端加密的Web应用测试场景在授权的安全评估中发挥关键作用。