SQLMap и Burp — классика жанра, не спорю, но без ручного перебора багов — всё равно как с автоматом на охоте идти, красиво стреляет, но зайца можно и промахнуться. И да, не забывайте делать бэкапы, чтоб потом не было «вот это баг, а сайт лежит!»