он переводит имя таблицы в верхний регистр а не сам запрос т.е.

select password from USER

с unhex(hex(user)) такое не прокатит.

вродебы где-то была метод с переводом всего запроса в mysql-hex и его выполнением в подзадпросе, но не могу найти(