ma una cosa....
ammesso che sia passato da una parte del sito che non è protetta in quel senso.... e che abbia inserito nella casella di testo una cosa del genere....
prova="SELECT * FROM tabella where usere = '' or 1 = 1

lo script non dovrebbe cercare nella tabella una cosa chiamata "SELECT * FROM TABELLA...." ???

altrimenti come avrebbe fatto ?