Если не так

string sql="SELECT * FROM mytable WHERE myfield LIKE (@param) ORDER BY id";

cmd.Parameters.AddWithValue("@param","%" + myvalue + "%");

а путем построения запросов в текстовую строку, то рискуете получить SQL Injection.