Solucionado
Vimos que para aplicar o Order by foi acessada uma página de UserInfo - User Lookup (SQL). Num caso real acredito que não teríamos essa opção de uma segunda tela para tentar acessar os detalhes da tabela, certo?. Como e onde deveria ser inserido order by num caso destes para obter os dados da tabela?
Ola William,
Nesse caso, realmente depende de cada aplicaçao. Em um teste real, acaba sendo mais vantajoso fazer o teste de maneira automatizada com o sqlmap que ira fazer uma serie de testes de injeçao de codigo SQL com o objetivo de descobrir alguma vulnerabilidade no sistema.
Abs
Muito obrigado professor!