Porque no puedes hacer un update dentro de un select 

http://foro.elhacker.net/nivel_web/inyeccion_sql_mysql_update_dentro_de_un_select-t241813.0.html

todo eso está en el mismo enace que te di mas arriba  .

Lo que puedes hacer son dos cosas:

1. Leer todos esos enlaces y documentarte mas sobre seguridad web para entender que debes aplicar el filtro que te dijo nakp.
2. aplicar el filtro que te dijo nakp sin leer nada.

No uses REQUEST .

para esas preguntas necesitas saber primero programar en mysql, saber que union concatea dos selecciones y cada valor es una columna para igualar a las comumnas del primer select y no estoy actualizando contraseñas, me estoy devolviendo datos falsos para hacer login

http://foro.elhacker.net/nivel_web/temas_mas_destacados_fallas_y_explotaciones_a_nivel_web_actualizado_71009-t244090.0.html

Donde dice
hazle click a todo lo que diga inyección SQL.

aunque no te va a servir de nada si no sabes mucho de mysql