вот GET запрос : ?a='2','2','prist','#lich-prist','all_group_lich' если его изменить на ?a='2','2','prist','lich-prist','all_group_lich' то есть убрать #, то проблема исчезает. Вот php код :

А при вводе запроса в браузере символ "#" экранировал? Типа такого: '%23lich-prist'

knoot0279, всегда нужно экранировать получены данные перед запросом в базу. mysql_real_escape_string()
------------ Дoбавленo в 18.39:
В таком виде это дыра в безопасности, можно что угодно сделать с базой, а с неверными настройками и правами ещё и с сервером.

Каким образом?
------------ Дoбавленo в 18.53:
И еще...
Есть список разрешенных ip адресов, только если отправлять запросы с этих ip, то можно продолжить выполнение скрипта.
Насколько это надежно?
IP беру из $_SERVER['REMOTE_ADDR']

knoot0279, sql injection.

О какой инъекции идет речь, если единственный непостоянный параметр здесь это "$b".
Можно подменить "INSERT"? `menu`?
И как можно подменить переменную $b таким образом, чтобы получить доступ, например, к списку пользователей с логинами и паролями?

knoot0279, "подменить" можно, смотри union.

knoot0279, вот так можно почистить всю базу:
www.site.net/page.php?b=0,0,',',0); DELETE FROM users WHERE 1 = (1
Только перевести это надо в URL (проэкранировать пробелы и другие символы).

Хватит мне и так уже страшно...
mysql_query('SELECT * FROM `main`') - надеюсь это безопасно? здесь ничего исправлять не нужно?
------------ Дoбавленo в 00.53:
И еще... насколько безопасными становятся все действия после проверки ip(идет проверка на мой статический адрес
if($_SERVER['REMOTE_ADDR'] != 'мой ip') {exit('Access denied');}, конечно проверку применяю только на страницах, где доступ должен получить только я)



Вот это у меня получилось следуя совету Muz-Tv, теперь можно считать запрос безопасным?

REMOTE_ADDR нельзя подменить.

Да.

спасибо
------------ Дoбавленo в 00.58:
Я правильно понимаю что беспокоиться стоит только при GET и POST запросах?
Ну, например есть переменная $date = date('Y')...
Вот запрос : SELECT title FROM posts WHERE date='$date'
Так тоже будет безопасно или же есть риск?

knoot0279, любые данные, приходящие от пользователя, надо фильтровать. Данные, к которым пользователь не имел доступа - не надо.

спасибо