常见的sql注入漏洞检测工具

2019年某电商平台的注入一次数据泄露，起因是漏洞一个没做参数化查询的搜索接口。安全团队事后复盘，检测发现攻击者只用了不到二十行Python脚本就拖走了三百万条用户记录。工具这种漏洞至今还在大量代码里活着，注入检测工具因此成了开发和安全人员绕不开的漏洞东西。

sqlmap大概是检测这个领域最出名的工具。它用Python写的工具，命令行界面，注入支持MySQL、漏洞Oracle、检测PostgreSQL、工具SQL Server等主流数据库。注入你给它一个带参数的漏洞URL，它能自动判断注入点、检测识别数据库类型、甚至直接dump出表里的数据。我见过有人拿它测一个老旧的ASP系统，三分钟就拿到了管理员密码的哈希值。不过sqlmap的流量特征比较明显，WAF稍微敏感一点就能拦住，实战中经常需要配合tamper脚本做混淆。

商业工具里，Acunetix和Netsparker（现在叫Invicti）都内置了SQL注入检测模块。它们的优势是扫描Web应用时能顺带发现注入点，不需要单独配置。Acunetix对布尔盲注的检测相当准，我拿它扫过一个基于Spring Boot的API，它准确标出了某个排序参数存在时间盲注。缺点是贵，小团队基本不会考虑。

开源方案里，SQLNinja专注SQL Server，针对性和利用深度比sqlmap更强。它支持直接通过注入点执行系统命令，在渗透测试里很实用。另一个值得提的是jSQL Injection，Java写的图形化工具，适合不习惯命令行的人。它的界面不算好看，但功能完整，支持GET、POST、Cookie、Header多种注入位置。

代码审计场景下，工具选择完全不同。SonarQube的规则集里包含SQL注入检测，它不依赖运行时流量，而是直接分析源码。我试过用它扫一个MyBatis项目，它准确指出了几个用${ }拼接的XML映射文件——这些地方如果用#{ }就不会有问题。Checkmarx和Fortify也是同类产品，检测更细但配置复杂，通常只有大公司会买。

浏览器插件算轻量级方案。HackBar和SQLiPy这类工具能快速修改请求参数，适合手工测试时辅助。但它们本身不检测漏洞，只是帮你构造payload。真正判断是否存在注入，还是得靠回显差异、时间延迟或者报错信息。

工具再强也替代不了对SQL语义的理解。我见过一个案例，某工具报告某参数存在注入，实际是因为后端用了动态表名拼接，参数本身经过了白名单校验。反过来，有些注入点工具扫不出来，比如二阶注入——恶意数据先存进数据库，后续查询时才触发。这种只能靠人工梳理数据流。

选工具得看场景。快速验证用sqlmap，代码审计用SonarQube，商业扫描用Acunetix，手工测试配HackBar。没有哪个工具能覆盖所有情况，组合使用才是常态。另外，别迷信扫描结果。工具报的漏洞得手动确认，工具没报的地方也得自己看代码。SQL注入的本质是数据和指令没分离，只要这个根本问题还在，检测工具就永远有盲区。