10大關聯式資料庫SQL注入工具一覽

 　　BSQL Hacker

　　BSQL Hacker是由Portcullis實驗室開發的，BSQL Hacker 是一個SQL自動注入工具(支援SQL盲注)，其設計的目的是希望能對任何的資料庫進行SQL溢出注入。 BSQL Hacker的適用群體是那些對注入有經驗的使用者和那些想進行自動SQL注入的人群。BSQL Hacker可自動對Oracle和MySQL資料庫進行攻擊，並自動提取資料庫的資料和架構。

　　The Mole

　　The Mole是一款開源的自動化SQL注入工具，其可繞過IPS/IDS(入侵防禦系統/入侵偵測系統)。只需提供一個URL和一個可用的關鍵字，它就能夠檢測注入點並利用。The Mole可以使用union注入技術和基於邏輯查詢的注入技術。The Mole攻擊範圍包括SQL Server、MySQL、Postgres和Oracle資料庫。

　　Pangolin

　　Pangolin是一款協助滲透測試人員進行SQL注入(SQL Injeciton)測試的安全工具。Pangolin與JSky(Web應用安全性漏洞掃描器、Web應用安全評估工具)都是NOSEC公司的產品。Pangolin具備友好的圖形介面以及支援測試幾乎所有資料庫(Access、MSSql、MySql、Oracle、Informix、DB2、Sybase、PostgreSQL、Sqlite)。Pangolin能夠通過一系列非常簡單的操作，達到最大化的攻擊測試效果。它從檢測注入開始到最後控制目標系統都給出了測試步驟。Pangolin是目前國內使用率最高的SQL注入測試的安全軟體。

　　Sqlmap

　　Sqlmap是一個自動SQL 注入工具。其可勝任執行一個廣泛的資料庫管理系統後端指紋，

　　檢索DBMS資料庫、usernames、表格、列、並列舉整個DBMS資訊。Sqlmap提供轉儲資料庫表以及MySQL、PostgreSQL、SQL Server伺服器下載或上傳任何檔案並執行任意代碼的能力。

　　Havij

　　Havij是一款自動化的SQL注入工具，它能夠協助滲透測試人員發現和利用Web應用程式的SQL注入漏洞。Havij不僅能夠自動挖掘可利用的SQL 查詢，還能夠識別後台資料庫類型、檢索資料的使用者名稱和密碼hash、轉儲表和列、從資料庫中提取資料，甚至訪問底層檔案系統和執行系統命令，當然前提是有 一個可利用的SQL注入漏洞。Havij支援廣泛的資料庫系統，如 MsSQL, MySQL, MSAccess and Oracle。 Havij支援參數配置以躲避IDS，支援代理，後台登陸地址掃描。

　　Enema SQLi

　　Enema SQLi與其他 SQL注入工具不同的是，Enema SQLi不是自動的，想要使用Enema SQLi需要一定的相關知識。Enema SQLi能夠使用使用者自訂的查詢以及外掛程式對SQL Server和MySQL資料庫進行攻擊。支援基於error-based、Union-based和blind time-based的注入攻擊。

　　SQLninja

　　SQLninja軟體用Perl編寫，符合GPLv2標準。SQLninja的目的是利用Web應用程式中的SQL注入式漏洞，它依靠微軟的SQL Server作為後端支援。其主要的目標是在存在著漏洞的資料庫伺服器上提供一個遠端外殼，甚至在一個有著嚴格的防範措施的環境中也能如此。在一個SQL注入式漏洞被發現以後，企業的管理員特別是滲透攻擊的測試人員應當使用它，它能自動地接管資料庫伺服器。現在市場上有許多其它的SQL注入式漏洞工具，但SQLninja與其它工具不同，它無需抽取資料，而著重於在遠端資料庫伺服器上獲得一個互動外殼，並將它用作目標網路中的一個立足點。

　　sqlsus

　　sqlsus是一個開放原始碼的MySQL注入和接管工具，sqlsus使用perl編寫並基於命令列介面。sqlsus可以擷取資料庫結構，注入你自己的SQL語句，從伺服器下載檔案，爬行web網站可寫目錄，上傳和控制後門，複製資料庫等。

　　Safe3 SQL Injector

　　Safe3 SQL Injector是一個最強大和最易使用的滲透測試工具，它可以自動檢測和利用SQL注入漏洞和資料庫伺服器的過程中。Safe3 SQL Injector具備讀取MySQL、Oracle、PostgreSQL、SQL Server、Access、SQLite、Firebird、Sybase、SAP MaxDB等資料庫的能力。同時支援向MySQL、SQL Server寫入檔案，以及SQL Server和Oracle中執行任意命令。Safe3 SQL Injector也支援支援基於error-based、Union-based和blind time-based的注入攻擊。

　　SQL Poizon

　　SQL Poizon的圖形介面使使用者無需深厚的專業知識便能夠進行攻擊，SQL Poizon掃描注入工具內建瀏覽器可協助查看注入攻擊帶來的影響。SQL Poizon充分利用搜尋引擎“dorks”掃描互連網中存在SQL注入漏洞的網站。