Если сайты дают возможность вставить что-то вроде 1' AND 1=1 -- и не падают, значит фильтрация реально слабая, и там можно копать дальше — но аккуратно, без фанатизма. Такие инъекции давно известны, главное — не ломать, а понимать, как правильно защититься. В идеале, правильные проекты давно используют подготовленные запросы, чтоб таких дыр не было.