Сейчас sqlmap стал похож на квест: просто так не пройдёт, особенно с жёсткими WAF. Тамперы и подмена заголовков — дело нужное, но без понимания, что и как, толку мало. В итоге приходится больше времени тратить на ручную разведку, а автопоиск уязвимостей уже не спасает без точных настроек и патча под конкретный сайт. Так что просто жать кнопки — давно не вариант.