(AYU) Resultado buscador PHP

[MaTiaS]

Hola gente, resulta que tengo este codigo de buscador en mi web www.escueladepokeronline.net , pueden probarlo, y me gustaría que en el resultado tambien aparte del titulo de la noticia muestre la imagen correspondiente ya que todas las noticias tienen un campo llamado "img" donde está guardada la url de la imagen.

Código [Seleccionar] Expandir


<?
if ($_POST['buscador'])
{
// Tomamos el valor ingresado
$buscar = $_POST['palabra'];

// Si está vacío, lo informamos, sino realizamos la búsqueda
if(empty($buscar))
{
echo "No se ha ingresado una cadena a buscar";
}else{
// Conexión a la base de datos y seleccion de registros
$con=mysql_connect("localhost","USERDB","PASSDB");
$sql = "SELECT * FROM noticias WHERE titulo like '%$buscar%' OR contenido like '%$buscar%' OR subtitulo like '%$buscar%' ORDER BY id DESC";
mysql_select_db("MYDATABASE", $con);

$result = mysql_query($sql, $con);

// Tomamos el total de los resultados
$total = mysql_num_rows($result);

// Imprimimos los resultados
if ($row = mysql_fetch_array($result)){
echo "Resultados para: <b>$buscar</b>";
do {
?>
<p><b><a href="noticia.php?id=<?=$row['id'];?>"><?=$row['titulo'];?></a></b></p>

<?
} while ($row = mysql_fetch_array($result));
echo "<p>Resultados: $total</p>";
} else {
// En caso de no encontrar resultados
echo "No se encontraron resultados para: <b>$buscar</b>";
}
}
}
?>


Alguien me ayuda a mostrar lo que necesito? no la tengo clara con php pero me puse a probar y no logro hacerlo. Saludos

[Camello_AR]

En

Código [Seleccionar] Expandir

<p><b><a href="noticia.php?id=<?=$row['id'];?>"><?=$row['titulo'];?></a></b></p>


hace algo como

Código [Seleccionar] Expandir

<p><b><a href="noticia.php?id=<?=$row['id'];?>"><img src="<?=$row['img'];?>"><?=$row['titulo'];?></a></b></p>


Por otro lado limpia el código porque pide a gritos inyección SQL

[MaTiaS]

bien camello! ahora le doy un poco de formato y joya, a qué te referis con limpiar el codigo?  e inyeccion sql?

[Camello_AR]

que los términos ingresando no pasen directamente al query SQL, sino que se filtre para evitar que te metan codigo malicioso


http://es.wikipedia.org/wiki/Inyecci%C3%B3n_SQL

[MaTiaS]

gracias camello por la ayuda y la info, como siempre!

[Camello_AR]

Por nada, estamos para ayudar