Dependende de la tecnología, sistema, bases de datos, etc a la que nos enfrentemos, los vectores de ataques pueden variar. Por ejemplo, si estamos atacando una aplicación web que está conectada a una base de datos de MySQL, la inyección de código o payload variará si nos enfrentamos a una base de datos de Oracle, PostgreSQL, etc.
Payloads All The Things es un repositorio alojado en Github que almacena una buena cantidad de payloads para aplicaciones web. Desde inecciones genéricas de SQL a ataques más específicos contra tecnologías concretas como Amazon S3, PHP, Apache Struts, etc.

En dicho repositorio además puedes encontrar una buena colección de herramientas y libros.

Un recurso para tener a mano si nos dedicamos a hacer auditorías de seguridad en aplicaciones web.

Fuente: CyberHades