$sql = "SELECT * FROM utenti WHERE user='$user' and pass='$pass'";

togli lo $ da utenti che non è una variabile...