acunetix(отличная вешь находит не только sqlки но и кучу всего другого) + sqlmap(чекает на иньекцию через кукисы + помоему он во много раз лучше havij )