Create ex.py

Поскольку login.php не экранирует кавычки, можно в поле имени пользователя ввести строку вида ' OR ''=' и любой непустой пароль, это предоставит нам доступ на страницу blog.php.  Или можно вообще удалить таблицу: a'; DROP TABLE users #
Исправить это можно, создавая допустимые в SQL строки из входящих строк:
$username = mysqli_real_escape_string($mysqli, $_POST['username']);
$password = mysqli_real_escape_string($mysqli, $_POST['password']);