Не "скармливайте" sqlmap-у раскрученную иньекцию, он не поймет так как сам будет пробывать "крутить", запрос должен быть что-то типо "http://www.site.ru/showbanner.php?banner_id=123" обязательно вставьте существующий banner_id дабы sqlmap смог найти boolean based иньекцию