vaktim olmadıgı için pek katkı saglıyamayacagım ama bir tedbir

$hid=$_GET['id'];

bu kodu

$hid= mysql_real_escape_string($hid);

ile değiştir