Защита от XSS и SQL inject

идей никаких

А у гугла спросить? Не модно уже наверно.

Ну например
http://www.securitylab.ru/analytics/216211.php
http://habrahabr.ru/post/148151/

Acunetix Vulnerability Scanner ругается что там есть уязвимость

ругательство покажешь?

$id = htmlspecialchars($_GET['id']);
$sql = @mysql_query("SELECT * FROM `demons` WHERE id=$id") or die("couldnt connect");

http://php.net/manual/en/function.mysql-real-escape-string.php - читай внимательно warning (http://stackoverflow.com/questions/8891443/when-should-i-use-mysqli-instead-o...)

htmlspecialchars емнип толькозаменяеи всякие >,<,|э итд. а в скуль запросах надо addslashes делать.

https://www.owasp.org/index.php/Web_Application_Firewall

думаю это надёжней будет

Спасибо большое за помощь, всем кто отписался. Дошло таки.