Bueno pues estoy intentando aprender esto lo de mysql inyection.
Y creo haber conseguido aprender algo:
Y entonces si ese algién nos envia:
$usuariorecibido = 'or 1=1--
Y el password = 'or 1=1--
Aunque no lo entiendo, yo en mis sistemas siempre pongo:
'$lavariable'
Entonces con eso ya no sería vulnerable??
Saludos   8)

Como te dice Sirdarckcat, no es el uso de las variables sino el hecho de no parsearlas debidamente.

Si cambias en una variable los ' por /' antes de usarla se te acaba el problema, aunque esta es la forma más básica de injección SQL.

Otra muuuuy conocida es la de usar el www.pagina.com/index.php?var=1 y cambiar el 1 por un UNION SELECT ..., y así encadenas los dos SQL query, aunque recuerda que para usar el UNION la primera query tiene que ser correcta, es decir, no puedes cortarla por la mitad... Ello implica el conocer las tablas.

Te recomiendo que leas un poco más, si quieres te doy unos cuantos que tengo por casa, estan francamente bien.

Saludos.