Para que o SQL Injection funcione, eles precisam de uma maneira de enviar o código SQL para o seu servidor, pois não há entrada, em teoria é impossível para eles injetar SQL. (apesar de não ser especialista no assunto)

Eu ainda recomendo que você use uma estrutura como mysqli ou PDO, você deve se familiarizar com essas estruturas, pois elas se tornaram a norma no design de sites.