Часто вижу, что при проверке уязвимостей SQL-инъекций большинство в первую очередь смотрят GET-параметры и формочки с вводом. Но реально проблема может быть глубже — например в HTTP-заголовках типа User-Agent или Referer. Сам когда-то не обращал на это внимание, пока клиент не пожаловался на неожиданные баги. Чтобы проверить, достаточно послать пару “’ OR 1=1--” в разные места запроса и отследить реакцию сервера. Если ответ отличается, значит надо копать дальше.