ну я сразу подумал про подзапросы... но хз что там как...
?id=36))
уже ошибка
Couldn't execute query: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '))' at line 1

Нет, Вы не так поняли. Просто попробуйте в допустим CMS Drupal создать новость со встроенным веб-шеллом, и у него не хватит прав на исполнение, ни чтение, ни запись, ничего.

36))+union+select+1/*
итд...

пробовал
комментарии /*, -- и # там не работают

Couldn't execute query: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near 'union select 1 -- ))' at line 1

подскажите, насколько я понимаю, если на сайте включён mod Rewrite, то бесполезно искать уязвимость типа SQL injection ?
к примеру сайт даёт http://site.ru/news/36 но нра самом деле отсюдова идёт реврайт на скрипт http://site.ru/news/index.php?id=36

если же есть способ, озвучьте его, пожалуйста.

36))+union+select+1+and+((1
итд...

смотря какой модрерайт.
встречаются обходимые
например
http://site.ru/id/1+order+by+1+--+-/

__________________
Появляюсь редко. Важные дела в реале.

есть SQLi на сайте, версия 4.1.12 MySQL
таблицы брутил со всеми какими есть словарями, но ни одного не нашел. Там помоему префикс какой то. Подскажите есть ли как нибудь брутит префикс или обйти какими то символами?

Ну в сипте можно указзывать пути к словарям с префиксами... попробуй ним