אממ זה קל.
תראה , יש לך אתר אוקיי? באתר את רוצה להציג משתמש כלשהו
הכתובת נראית ככה :
www.link.com/index.php?id=1
גורם זדוני יכול להוסיף
id=1' OR 1=1
מה שבעצם ימשוך את כל המשתמשים מהמערכת כי הרי 1 = 1 נכון לגבי כל המשתמשים שבמסד.
יש MYSQL_ESCAPE_STRING וכל מיני פונקציות בסגנון.