Burp Suite non rileva sempre il rilevamento corretto. Sulla tua domanda, hai notato che l'applicazione sembrava vulnerabile ; Ciò significa che non è mai determinato se si tratta di un rilevamento positivo. Dovrai controllare se il rilevamento è Certo o è solo Tentativo ? (Cosa ti dice Burp Suite?) Se è il rilevamento Tentativo , puoi provare a usare SQLMap o provare a rilevare manualmente.
The application takes twice the time defined in sleep to respond (sleep 10 returns a response after 20 seconds)
L'hai provato manualmente, se sì - c'è una probabilità di un firewall di un'applicazione web.
Poiché SQLMap è l'approccio che hai preso - presumo che tu debba scegliere come target un particolare parametro usando -p switch e poi il nome del parametro che stai testando. Hai notato che --risk & --level non aiuta È perché se il rilevamento dei parametri è Tentativo , è un falso positivo.
Su un sidenote, usa --tamper=ptm & tamper=charencode , facci sapere come è andata.
Un altro modo potrebbe essere utilizzare --identify-waf per determinare se l'obiettivo è oltre un firewall che potrebbe far cadere pacchetti interessanti.