Вы должны использовать mysql_real_escape_string () каждый раз, когда вы вставляете опубликованные пользователем данные в запрос, или используете оболочку базы данных, такую как PDO , которая может делать подготовленные операторы. Это было бы лучше, потому что они выполняют работу по очистке для вас.
Если вы работаете над общей безопасностью вашего сайта, это здорово и, безусловно, необходимо. Если вы ищете причины, по которым ваш сайт был взломан, я сомневаюсь, что это было сделано с помощью SQL-инъекции, так как это затронуло ваш реальный HTML-код (или я подумал, что могу ошибаться). Это будет возможно только в том случае, если ваш пароль FTP хранится где-то в базе данных.