SQL Injection

Olá pessoal.

Eu tenho um script que pega um parâmetro via GET, por exemplo:

http://www.meusite.com/?lg=1

No meu script php não estou a tratar esse parâmetro (por distração), faço diretamente uma consulta na base de dados usando o que passei por GET.

Acontece que ao passar por um auditoria, conseguiram utilizar essa brecha para ter acesso a base de dados.

Como conseguiram chegar a base de dados?

Apenas consegui provocar um erro trocando o 1 pelo apóstrofo.

Se tento colocar uma query (para tentar obter o nome da base de dados e utilizador, ou listagem das tabelas) no lugar do 1 retorna um Forbidden.

Como conseguiram extrair dados da base de dados através da única lacuna que encontraram?

Obrigado.