Ti suggerisco di iniziare leggendo questa guida:

http://php.html.it/guide/lezione/2986/sql-injections/