Как атаковать sql внедрение, когда программа PHP имеет функцию mysqli_real_escape_string ()

Question

//...
mysqli_query("SET NAMES 'UTF8'");
$str = mysqli_real_escape_string($str);
$query = "SELECT * FROM thread WHERE sub_title LIKE '%". $str ."%' LIMIT 20";

Спасибо за ответ.