sqlmap 是常用绕不开的那个名字。几乎每个搞过渗透测试的注入人，电脑里都躺着这个开源工具。漏洞它用Python写的检测，命令行跑起来像老式黑客电影里的工具终端操作，但效率确实吓人。常用你给它一个带参数的注入URL，它就能自动探测注入点、漏洞判断数据库类型、检测甚至直接拖出整个库的工具表结构和数据。我见过最夸张的常用一次，同事拿它打一个老旧的注入教务系统，不到十分钟，漏洞几千条学生信息就躺在本地CSV文件里了。检测

但sqlmap不是工具万能的。它有个毛病——太“重”了。目标站点如果做了严格的WAF（Web应用防火墙），它的默认payload很容易被拦下来。这时候你得手动加--tamper参数，用脚本混淆请求，比如把空格换成注释符，把关键字拆开。这活儿挺考验耐心，试错十几次是常事。有个技巧：先用--batch参数跑一遍，让它自动跳过交互式提问，能省不少事。

轻量级的工具里，Havij 和 Pangolin 是老牌选手，图形界面，点几下鼠标就能测。Havij是伊朗人写的，界面有点土，但检测准确率在Windows平台下相当能打。Pangolin（穿山甲）是中国的工具，早期版本免费，后来收费了。这类工具适合快速验证，但别指望它们能处理复杂场景——比如需要登录后的页面，或者带JSON格式的POST请求，它们经常懵圈。

如果你是手动党，Burp Suite 的Repeater模块才是神器。它不直接“扫描”，而是给你一个拦截请求的窗口，你手动改参数里的值，比如把id=1改成id=1' AND '1'='1，然后观察响应内容。这种笨办法反而最可靠，因为你能直观看到数据库报错信息、页面回显差异。配合ffuf或者dirsearch先探出隐藏参数，再逐个手测，命中率比全自动扫描高得多。我认识一个老哥，他就靠Burp加一个自己写的Python脚本，搞定了好几个大厂的SRC漏洞。

别忽略Xray和AWVS这类综合扫描器。Xray是长亭科技开源的，被动扫描模式很聪明——你正常浏览网站，它挂在浏览器代理后面，悄悄分析流量里的注入风险。AWVS则是老牌商业软件，扫描报告做得漂亮，适合写进交付文档里。但这两者的误报率都不低，经常把普通的报错页面当成SQL注入。所以拿到结果后，务必手工复核一遍，别直接提交给客户，否则容易闹笑话。

还有一个冷门但好用的：NoSQLMap。它专打MongoDB这类非关系型数据库的注入。现在很多新应用不用MySQL了，改用文档型数据库，传统工具全抓瞎。NoSQLMap能测JSON格式的查询条件，比如{ "username": { "$ne": null}}这种绕过逻辑。虽然界面糙得跟2005年的软件似的，但针对性极强。

最后说句掏心窝的话——工具终究是辅助。我见过有人拿sqlmap扫了一整天，啥也没扫出来，结果换了个思路，在登录框的密码字段里加了句' OR 1=1 --，直接以管理员身份登进去了。那场景，比任何工具都讽刺。所以，熟悉HTTP协议、懂点数据库语法，比会点十个扫描工具都重要。工具能帮你省时间，但替代不了你的判断力。