sql injection

[P.H.P]

این کد + ورودی ها رو تست کن متوجه میشی

<?php

#TRUE
//file.php?str=reza
//file.php?str=test ;)

#FALSE
//file.php?str=-2+order+by+1
//file.php?str=-1+union+select+all+1,2,3,concat_ws(0x3a,version(),user(),database()),5,6--

function _inject_($str)
{
    if(eregi("select|insert|update|delete|\/'|\/\*|\*|\.\.\/|\.\/|\-|\,|union|into|load_file|outfile|order|by|from|group_concat", $str))
        return false;

    return true;
}

$getURL = $_GET["str"];

echo $getURL, "<br />";

if(_inject_($getURL))
    echo ">true";
else
    echo ">false";

?>