Да когда одна переменная, понятно, что ее мона захексить и разхексить.

а что делать при таком формате запроса?

-1'+union+select+*+from+(select+1,2,3,4,5,6)a, users,(select+1,2,3,4,5,6,7,8)b+--+