Sql Injection - analiza kodu Opcje

[Xart]

Witam przedstawię tutaj pewien kod służący do logowania i prosiłbym bardzo o wypowiedzenie się czy możliwy jest atak (zalogowanie się na konto o loginie "admin")
Jeśli tak to w jaki sposób z góry thx (IMG:style_emoticons/default/smile.gif)

[PHP] pobierz, plaintext 
<?
session_start();
include("config.php");
 
$login=$_POST['USRlogin'];
$haslo=$_POST['USRhaslo'];
 
	$wynik = mysql_query("SELECT * FROM users WHERE login='".$login."'") or die("<center>błąd w pytaniu</center>");
	$rekord = mysql_fetch_assoc($wynik);
	if(md5($haslo)==$rekord['haslo']){
		$log=md5("zalogowanyOKzalogowany");
  		session_register('log');
?>
[PHP] pobierz, plaintext 

[Xart]

Czyli nie da rady się włamać ?
Można zrobić takie coś hasło zostawić puste a w login wpisać:

' AND 1=2 UNION SELECT login, haslo AS SQLINJECTION FROM users WHERE login='dowolnylogin

jednak w tym przypadku to nie działa a chyba powinno