evitar sql injection

[frankjoel86]

saludos gentita, acabo de probar el sql injection y si funciona
dejo el codigo:

<?php
include("cn.php");
$usu=$_POST[txtusuario];
$clave=$_POST[txtclave];

$consulta=mysql_query("select *from usuarios where nomusu='$usu' and clavusu='$clave'", $cn);
$contar=mysql_num_rows($consulta);
if($contar==0){
?>
<SCRIPT LANGUAGE="javascript">
location.href = "../nosotros.html";
</SCRIPT>
<?php
}else{
echo "Hola";
}
?>

si dijito el usuario correcto y la siguiente clave: 'OR''='
ingresa al panel. ¿Como evitaria eso?

[SetheR]

Limpia las variables que recibes por POST antes de enviarlas a la base de datos con funciones como addslashes() o mysql_real_escape_string().

De culaquier manera, debe e haber mil post similares a este en el foro.

Escribe en el buscador "inyeccion sql" o "limpar variables base de datos" y seguro encuentras multimples soluciones.

Un saludo