думаю это было утверждение, нежели вопрос)

софтом не будет крутится, так как параметра уязвимого нет. Ну по крайней мере с sqlmap я не пробовал такое вытворять

с order by будет крутиться только если это не error based + 5 версия mysql. В остальных случаях прийдется использовать другие параметры или другой набор слов. Попробуй использовать как параметр phpsessid, то есть сайт/1'&PHPSESSID=значение'

и суй куда нибудь типа того же sqlmap. может поможет