Login script.. Veilig?

Hoi allemaal :)

Ben ik weer :P Ik heb het advies even opgevolgd en heb er wat MySQL in gegooid...

Maarja, of het nu nog zo veilig is.. ik heb geen idee. Hoor de wildste geruchten over mysql injection enzo :P Daarom post ik het hier toch nog maar even :)

<?php
//includes
require('config.php');
require_once('connect.php');

//verzenden van het formulier
if ($_SERVER['REQUEST_METHOD'] == "POST") {
//testen of iets leeg is
if(empty($_POST['usr'])) {
$fout = "- U bent vergeten uw gebruikersnaam in te vullen!<br>";
}
if(empty($_POST['pass'])) {
$fout .= "- U bent vergeten uw wachtwoord in te vullen!<br>";
}
if(!isset($fout)) { //Waneer er geen fouten zijn
$sql = "SELECT * FROM login WHERE gebruikersnaam = '" . $_POST['usr'] . "' AND password = '" . $_POST['pass'] . "'" ;
$qry = mysql_query($sql);
if(mysql_num_rows($qry) > 0){
$gebruiker = $_POST["usr"];
$wachtwoord = $_POST["pass"];
$_SESSION['gebruiker'] = $gebruiker;
echo("Aangemeld :)");
}
else {
echo("Uw gebruikersnaam komt niet overeen met uw wachtwoord! Klik <a href=\"javascript:back();\">hier</a> om terug te keren");
}
}
else {
echo "Error $fout<br />Klik <a href=\"javascript:back();\">hier</a> om terug te keren";
}
}

else {
//formulier
}
?>

Mjoah ik heb zelf zoiets beetje gepruts met die sessie.. en volgens mij ook niet helemaal veilig omdat toch iedereen een sessie aan kan maken met de gebruikersnaam?

Help me out please :)