Да разве? Как сказал kingbeef, можно использовать error-based векторы. С помощью них можно увидеть записи воочию.

Обойти авторизацию подстановками вроде ' or 1=1 # не получается из-за того, что в запросе участвует только поле login. Соответствие паролей проверяет php скрипт. Варианты:

1. Вывести записи и подставить их в форму.
   
2. Если записей действительно нет, или в них присутствуют непробиваемые хэши, подставить с помощью UNION свои и ввести в поле пароля соответствующий пароль.