Buenas,

Aqui esta el codigo que corresponde a un form, quiero decir que las funciones son similares en todos los forms por lo que el desarrollo sera igual en todo lugar.

if (isset($_POST['Send']))
{
	$username = $_POST['Username'];
	$username = htmlspecialchars($username);
	if (get_magic_quotes_gpc[]) // puse [] porque si pongo () seguido de la funcion no me deja postear. 
		$username = stripslashes($username);
	$username = mysql_real_escape_string($username);
	mysql_query("SELECT * FROM usuarios WHERE nombre='{$username}'");
}
//El form:
echo '<form action="'.$_SERVER['PHP_SELF'].'" enctype="multipart/form-data" method="post"><table><tr><td><b>Username:</b></td><td><input class="textbox" maxlength="10" name="Username" size="20" type="text"/></td></tr></table></form>';

Que piensan?
Tendra vulnerabilidades el webform?

Pues no sé si en este caso exista un XSS, pero WHK dice:
Código:

   echo $_SERVER['PHP_SELF']."\n";

PoC: index.php/%3Cscript%3Ealert%28/XSS/%29%3C/script%3E

la mejor prevención ya te la dieron

https://foro.elhacker.net/php/evitar_inyeccion_en_mysql-t293510.0.html;msg1453264#msg1453264

en ese enlace está tooooooodo lo que necesitas para prevenir inyeccion sql y xss.

Aver si entiendo bien,

Me pase a leer algunos manuales en linea para comprender mejor los links que me dejaron arriba y esta es mi deduccion, por favor corrijanme si estoy mal:
"Una inyeccion se puede prevenir si se realiza la validacion DESPUES del $_POST pero ANTES de realizar mis consultas en las bases de datos."
A mayores palabras, un ejemplo:
Digamos que yo tengo un campo de texto (como dueño, script). Entonces proporciono ese campo a un visitante, el cual curiosamente ingresa " '); mysql_query(....); " entonces presiona enviar. Hasta ahora solo se ha asignado el valor de " '); mysql_query(....); " a la variable $_POST['ejemplo'] como contenido "textual" unicamente. Ahora bien, apra evitar que se genere la consulta que el visitante realizo, debo validar esa variable con algunas funciones como stripslashes(), mysql_real_escape_string() y otras mas. Se procede con una condicion, la cual establecera si la variable enviada es valida, en caso que lo sea generara mi consulta (mi script), en caso contrario, regresara un error en la webform y de esta manera evitara la inyeccion.

En resumen, una inyeccion NO procede hasta que el mismo script propio del dueño le da acceso tras generar una consulta del script, dando paso de esta manera a que la variable que solo era texto, se convierta en una instruccion para afectarnos.

Es correcta mi deduccion?

xD, la verdad, no entendí un fuck! 

si limitas a 20 carácteres puedo hacerte un infile y llamar a un archivo sql de instrucciones externas y hacer cualquier inyección que yo quiera, además estarias restringiendo a tus usuarios solamente no al atacante.