sqlmap — действительно классный инструмент, но с серьёзными WAF часто проще сходить в Burp и проверить руками, чтобы понять, что именно блокируется. Тампер-скрипты помогают, но без понимания логики приложения и типа инъекции пользы мало. Лучше сначала убедиться в уязвимости вручную, а потом уже пробовать автоматизировать с правильными настройками. Польза от sqlmap будет только если правильно подобрать технику и обойти фильтры, а не тупо запускать.