十大關系數據庫SQL注入工具一覽
眾所周知，SQL 注入攻擊是最為常見的 Web 應用程序攻擊技術。同時 SQL 注入攻擊所帶來的安全破壞也是不可彌補的。以下羅列的 10 款 SQL 工具可幫助管理員及時檢測存在的漏洞。
BSQL Hacker
BSQL Hacker 是由 Portcullis 實驗室開發的，BSQL Hacker 是一個 SQL 自動注入工具（支持 SQL 盲注），其設計的目的是希望能對任何的數據庫進行 SQL 溢出注入。 BSQL Hacker 的適用群體是那些對注入有經驗的使用者和那些想進行自動 SQL 注入的人群。BSQL Hacker 可自動對 Oracle 和 MySQL 數據庫進行攻擊，并自動提取數據庫的數據和架構。
The Mole
The Mole 是一款開源的自動化 SQL 注入工具，其可繞過 IPS/IDS（入侵防御系統/入侵檢測系統）。只需提供一個 URL 和一個可用的關鍵字，它就能夠檢測注入點并利用。The Mole 可以使用 union 注入技術和基于邏輯查詢的注入技術。The Mole 攻擊范圍包括 SQL Server、MySQL、Postgres 和 Oracle 數據庫。
Pangolin
Pangolin 是一款幫助滲透測試人員進行 SQL 注入(SQL Injeciton)測試的安全工具。Pangolin 與 JSky（Web 應用安全漏洞掃描器、Web 應用安全評估工具）都是 NOSEC 公司的產品。Pangolin 具備友好的圖形界面以及支持測試幾乎所有數據庫（Access、MSSql、MySql、Oracle、Informix、DB2、Sybase、 PostgreSQL、Sqlite）。Pangolin 能夠通過一系列非常簡單的操作，達到最大化的攻擊測試效果。它從檢測注入開始到最后控制目標系統都給出了測試步驟。Pangolin 是目前國內使用率最高的 SQL 注入測試的安全軟件。
Sqlmap
Sqlmap 是一個自動 SQL 注入工具。其可勝任執行一個廣泛的數據庫管理系統后端指紋，
檢索 DBMS 數據庫、usernames、表格、列、并列舉整個 DBMS 信息。Sqlmap 提供轉儲數據庫表以及 MySQL、PostgreSQL、SQL Server 服務器下載或上傳任何文件并執行任意代碼的能力。
Havij
Havij 是一款自動化的 SQL 注入工具，它能夠幫助滲透測試人員發現和利用 Web 應用程序的 SQL 注入漏洞。Havij 不僅能夠自動挖掘可利用的 SQL 查詢，還能夠識別后臺數據庫類型、檢索數據的用戶名和密碼 hash、轉儲表和列、從數據庫中提取數據，甚至訪問底層文件系統和執行系統命令，當然前提是有一個可利用的 SQL 注入漏洞。Havij 支持廣泛的數據庫系統，如 MsSQL, MySQL, MSAccess and Oracle。 Havij 支持參數配置以躲避 IDS，支持代理，后臺登陸地址掃描。
Enema SQLi
Enema SQLi 與其他 SQL 注入工具不同的是，Enema SQLi 不是自動的，想要使用 Enema SQLi 需要一定的相關知識。Enema SQLi 能夠使用用戶自定義的查詢以及插件對 SQL Server 和 MySQL 數據庫進行攻擊。支持基于 error-based、Union-based 和 blind time-based 的注入攻擊。
SQLninja
SQLninja 軟件用 Perl 編寫，符合 GPLv2 標準。SQLninja 的目的是利用 Web 應用程序中的 SQL 注入式漏洞，它依靠微軟的 SQL Server 作為后端支持。其主要的目標是在存在著漏洞的數據庫服務器上提供一個遠程的外殼，甚至在一個有著嚴格的防范措施的環境中也能如此。在一個 SQL 注入式漏洞被發現以后，企業的管理員特別是滲透攻擊的測試人員應當使用它，它能自動地接管數據庫服務器。現在市場上有許多其它的 SQL 注入式漏洞工具，但 SQLninja 與其它工具不同，它無需抽取數據，而著重于在遠程數據庫服務器上獲得一個交互式的外殼，并將它用作目標網絡中的一個立足點。
sqlsus
sqlsus 是一個開放源代碼的 MySQL 注入和接管工具，sqlsus 使用 perl 編寫并基于命令行界面。sqlsus 可以獲取數據庫結構，注入你自己的 SQL 語句，從服務器下載文件，爬行 web 站點可寫目錄，上傳和控制后門，克隆數據庫等。
Safe3 SQL Injector
Safe3 SQL Injector 是一個最強大和最易使用的滲透測試工具，它可以自動檢測和利用 SQL 注入漏洞和數據庫服務器的過程中。Safe3 SQL Injector 具備讀取 MySQL、Oracle、PostgreSQL、SQL Server、Access、SQLite、Firebird、Sybase、SAP MaxDB 等數據庫的能力。同時支持向 MySQL、SQL Server 寫入文件，以及 SQL Server 和 Oracle 中執行任意命令。Safe3 SQL Injector 也支持支持基于 error-based、Union-based 和 blind time-based 的注入攻擊。
SQL Poizon
SQL Poizon 的圖形界面使用戶無需深厚的專業知識便能夠進行攻擊，SQL Poizon 掃描注入工具內置瀏覽器可幫助查看注入攻擊帶來的影響。SQL Poizon 充分利用搜索引擎“dorks”掃描互聯網中存在 SQL 注入漏洞的網站。（李智/編輯）
原文鏈接：darkreading