Cita:
Iniciado por herzbazi 
si colocas esto en tu login
en usuario Pegaso y en contraseña ' OR ''='
veras de lo que hablo te pongo (IGUAL TE LOGUEA)
ejemplo de la seguridad de tu select
Código PHP:
Ver original$checkusere = sprintf("SELECT username FROM users WHERE username= '%s' mysql_real_escape_string($conexion,$_POST['user']),
mysql_real_escape_string($conexion,$_POST['pass']));
$result = mysql_query($checkusere);
$username_exist = mysqli_num_rows($result);
y continuas con el resto de tu codigo.
me cuentas
Hola, Gracias , ya me funcionó, dejo el codigo para los que los necesitan y si por si lo quieres ver tambien
Código PHP:
if (isset($_POST['username']) && !empty($_POST['username']) && isset($_POST['password']) && !empty($_POST['password'])){
$username=$_POST['username'];
$password=$_POST['password'];
$user = mysqli_real_escape_string($conexion,$username);
$query = sprintf("SELECT username,password FROM users WHERE username = '%s'",$user);
$result = mysqli_query($conexion,$query);
$username_exist = mysqli_num_rows($result);
$row = mysqli_fetch_array($result, MYSQLI_ASSOC);
$pass = mysqli_real_escape_string($conexion,$_POST['password']);
$pass1 = crypt($pass,"$2y$");
if($username_exist == 1 && $row['password']==$pass1){
echo "Bienvenido";
}elseif ($username_exist == 0) {
echo "El usuario no existe";
}
elseif($row['password']!=$pass)
{
echo "La contraseña es erronea";
}
}else{
echo "La password o el usuario no fueron enviados";
}