Ömer Çıtak adlı üyeden alıntı

Güzel filtre hocam, ancak eksik. Çünki htmlspecialchars ve strip_tags html tagleri ile ilgili filtreler. Sql injection tırnak veya sql komutları ile yapılan bir saldırı. Onları filtrelemeliyiz. Bunlar için mysql_real_escape_string kullanmışsınız ancan mysql_real_escape_string fonsiyonu bypass edilebiliyor. Aşağıdaki linkte bu fonksiyonun nasıl bypass edildiğini ve nasıl bypasstan korunulabileceğini anlatmıştım. Kolay gelsin...



Sql Inj. mysql_real_escape_string & addslashes Bypass :
http://omercitak.net/sql-inj-mysql_real_escape_string-ve-addslashes-bypass.html