В 2025 году sqlmap вроде бы прокачался, но без ручной проверки и понимания логики приложения он часто тупит, особенно с жесткими WAF. Раньше было проще – бахнул payload и получил данные, сейчас же надо дропать User-Agent и тамперить, чтобы хоть что-то прошло. Автоматизация без ручной диагностики уже почти бесполезна, иначе банально столкнешься с «not injectable» на самом деле уязвимом параметре. В общем, ничего нового – всё так же надо думать, а не только жать кнопки.