Bom, em primeiro lugar explique melhor qual o problema que você está tendo para que eu possa entender.
Mas de cara já vi que possivelmente você está tendo problemas por usar uma variável simples definida num arquivo de include para tabelas, se quiser usar assim, o ideal seria utilizar CONSTANTES, e outra, variáveis recebidas por POST ou GET para usar em querys no banco devem ser passadas antes numa função de SQL Injection como essa que está disponível aqui no artigo.

Estou com problemas de sql injection e não estou conseguindo resolver, gostaria de contar com ajuda de vocês !

Por favor, acessem estes dois links e vejam onde aplicar a vacina contra o sql injection.

http://www.sindsasc.org/protecao/conexao.txt
http://www.sindsasc.org/protecao/exibe_agenda.txt

Muito grato !!!

Utilize um require_once() para incluir a função em todas as páginas do site.

Em seguida, basta limpar todo input usando:

$_POST = anti_injection($_POST);
$_REQUEST = anti_injection($_REQUEST);
$_COOKIE = anti_injection($_COOKIE);
$_SESSION = anti_injection($_SESSION);

Muito mais simples né?
Outra coisa interessante é o uso do PDO para manipular a base de dados.

Espero ter contribuído.

<?
function anti_sql($texto){
// Lista de palavras para procurar
$check[1] = chr(34); // símbolo "
$check[2] = chr(39); // símbolo '
$check[3] = chr(92); // símbolo /
$check[4] = chr(96); // símbolo `
$check[5] = "drop table";
$check[6] = "update";
$check[7] = "alter table";
$check[8] = "drop database";
$check[9] = "drop";
$check[10] = "select";
$check[11] = "delete";
$check[12] = "insert";
$check[13] = "alter";
$check[14] = "destroy";
$check[15] = "table";
$check[16] = "database";
$check[17] = "union";
$check[18] = "TABLE_NAME";
$check[19] = "1=1";
$check[20] = 'or 1';
$check[21] = 'exec';
$check[22] = 'INFORMATION_SCHEMA';
$check[23] = 'like';
$check[24] = 'COLUMNS';
$check[25] = 'into';
$check[26] = 'VALUES';

// Cria se as variáveis $y e $x para controle no WHILE que fará a busca e substituição
$y = 1;
$x = sizeof($check);
// Faz-se o WHILE, procurando alguma das palavras especificadas acima, caso encontre alguma delas, este script substituirá por um espaço em branco " ".
while($y

<?php

$apelido = anti_sql($_POST["apelido"]);
$senha = anti_sql($_POST["senha"]);

$selecao = mysql_query("SELECT * FROM admin WHERE apelido = '$apelido' AND senha = '$senha' ") or die (mysql_error());

$row = mysql_fetch_array($selecao);

if ($row == "")
{
echo "apelido e/ou senha inválidos.”;
echo “”;
echo “Voltar”;
exit;
}
else
{
session_start();

$_SESSION["apelido"] = $apelido;

header (“location:index.php”);
}

mysql_close($conexao);
?>

Excelente função anti sql-injection.