jSQL Injection：一个老牌的 SQL 注入测试工具

文章目录jSQL Injection一个老牌的 SQL 注入测试工具1、 这工具是干嘛的2、 为什么还有人用3、 怎么装4、 几个能做的事5、 说在最后jSQL Injection一个老牌的 SQL 注入测试工具jSQL Injection 在 GitHub 上拿到 1.7K Star 了。这是一个开源的 SQL 注入测试工具用 Java 写的跨平台跑。Windows、Linux、Mac 都能用需要 Java 21 到 25。它已经被 Kali Linux 收录为官方渗透测试工具Pentest Box、Parrot Security OS、ArchStrike、BlackArch 这些发行版里也带着。1、 这工具是干嘛的就一件事从一个有 SQL 注入漏洞的服务器上把数据库信息挖出来。URL、表单参数、Cookie、Header凡是用户能传进去的地方它都能塞 payload 去测。测出来之后库名、表名、列名、数据、文件系统、甚至命令执行都能一步步拉出来。它是 GUI 的不是命令行。打开就是一个窗口几个标签页分开步骤从基础信息到 TIME/BLIND/ERROR/STACKED 各种注入方式再到文件读取、Shell 上传整条链路串起来。2、 为什么还有人用sqlmap 名气大命令行跑得飞快但有时候你不想盯着一屏屏滚动输出的日志。jSQL 给了一个可视化界面所有步骤都能看见中间状态。数据库结构树形展开、SQL 引擎执行日志、Tamper 脚本编码过程都能直接看。对教学场景也友好。学渗透的人一开始面对纯黑屏的 sqlmap 容易抓瞎GUI 工具把每一步骤拆开更容易理解注入是怎么一步步发生的。3、 怎么装先装 Java21 以上。然后去 release 页面下 jar 包目前版本是 v0.115。双击就能跑或者终端里java -jar jsql-injection-v0.115.jar也行。Kali Linux 用户直接sudo apt-get -f install jsql或者apt update加apt full-upgrade拉到最新。4、 几个能做的事多种注入方式基于时间、基于错误、堆叠、盲注都有数据库操作拿到了就能查库、查表、查列、下数据文件操作能读服务器上的文件Shell 上传能往目标写 webshell进一步控制Tamper 编码绕 WAF 那一层自己写编码规则5、 说在最后工具本身是 GPL 协议开源的代码在原作者手上持续维护。README 里特别提醒一句未经授权去攻击服务器是违法的使用者自己承担后果。渗透工具是好工具但只适合授权场景。做安全自测、CTF、合规渗透的人jSQL 是个能省不少时间的帮手。具但只适合授权场景。做安全自测、CTF、合规渗透的人jSQL 是个能省不少时间的帮手。