Buenas tardes;

LLevo estudiando varios dias SQL Injection, me ha surgido una duda que no encuentro por ninguna parte. Comprendo las consultas que hay que introducir en los campos de los formularios para asi poder formar una sentencia SQL con un resultado positivo.

Me monte un servidor apache con mysql y php, para poder estudiar mejor. Hice un formulario de autenticación que hace una consulta al servidor sql, todo bien, me di cuenta que para poder poner:

Usuario:' OR '1'='1
Pass:' OR '1'='1

Tuve que desactivar las magic quotes, ¿Esto significa que en php ya no es posible la injeccion SQL?

Para ver si una web es vulnerable a XSS, suelo poner el algun buscador, formulario el tipico script con un alert. ¿Hay algun metodo parecido para sql injection?

Con motivos de aprendizaje me tope con una web, que en el buscador ponias  ' OR '1'='1 y efectivamente devolvia todo, pero para los formularios de login nunca he obtenido resultados, intente hacer una consulta a alguna tabla que no existiera (me la invente) para que devolviera algun error y asi conocer mas datos sobre la base de datos, pero nunca me funciono.

Bueno espero no haber repetido post (he buscado pero no he encontrado).

Un saludo