Inyeccion sql para mi pagina web

[qazwsxedc]

me podeis decir exactamente que deberia poner si tengo un php cuando valido nombre y contraseña que es este:

<?
session_start();

$nombre1=$_POST['nombre'];
$contra1=$_POST['contra'];
/* Datos de acceso para la conexión con el servidor MySQL */
$enlace=mysql_connect("local","my","a");
$bd ="a"; // Elección de la base de datos que se utilizará en el servidor
$bds = mysql_select_db($bd, $enlace); // seleccionar la bd

$sql = "select nombre,password from profesores";
$resultado=mysql_query($sql,$enlace);
$sql2 = "select * from alumnos";
$resultado2=mysql_query($sql2,$enlace);

$_SESSION['posteo']=$nombre1;
$_SESSION['posteo2']=$nombre1;

while ($registro=mysql_fetch_array($resultado))
{
if ($nombre1 == $registro['nombre'] and $contra1 == $registro['password'] )
{

$_SESSION['profesor'] = $registro['nombre'];
$_SESSION['contra'] = $registro['contra'];

header('Location: http://www./a/profe.php');
exit;
}
else
{
header('Location: http://www..com/a/hola.php?"');
}
}

while ($registro2=mysql_fetch_array($resultado2))
{
if ($nombre1 == $registro2['nombre'] and $contra1 == $registro2['password'] )
{
$_SESSION['alumno'] = $nombre1;
header('Location: http://www..com/a/alumno.php');
exit;
}
else
{
header('Location: http://www..com/a/hola.php?"');
}
}



?>