Para que SQL Injection funcione, necesitan una forma de enviar código SQL a su servidor, ya que no hay entrada, en teoría es imposible para ellos inyectar SQL. (Aunque no soy un experto en el tema)
Todavía le recomendaría que use un marco como mysqli o PDO, debe familiarizarse con dichos marcos, ya que se convirtieron en la norma en el diseño de sitios web.
