Прокол парень, бомба у тебя не получиться((

BESTi, Дыра там, где не фильтруется $GET и $_POST.
В примере, который выше, $_GET не фильтруется. То есть написано просто $_GET[\'balls\'].
Чтобы зафильтровать числовое значение(баллы - числа), надо сделать так:
intval($_GET[\'balls\']). В итоге получим такой запрос:
mysql_qeury (\'update `user` set `balls` = `balls` + \'.intval($_GET[\'balls\']).\' where `id` = \'.$user[\'id\']);

mysql_qeury (\'update `user` set `balls` = `balls` + \'.$_GET[\'balls\'].\' where `id` = \'.$user[\'id\']);
тут что?

-=CoolBoy=-, Тебя спрашивали?

Hoy Mo,

Что здесь не так
$sep=$_POST[\'sep\'];
?