проверил сайт тут выдал это
Полученные данные
Светло результатов паука: 9 динамический URL-адресов всего 19 адресов пополз
МЕТОД URL PARAMS
GET /start/step-2 h_hide
GET /start/step-2 at=palms&pool=w
GET /start/step-2 act=mol
POST /auth.php?act=post nick=ZAP&pass=ZAP
GET /start/step-2 act=ogn
GET /start/step-1 act=w
GET /start/step-2 m_hide
GET /start/step-1 act=m
GET /start/step-2 act=palm&pal=m
в этих файлах получаеться есть хсс?

Да

А где ты проверял?

Toruz , теперь тут ошибка
<div class='$health' style='width:".floor(100/($umob['hpmax']/ $umob['hp']))."%'></div>
полный код
<tbody>
<td class="center"><div class="empty2"></div>';
if($umob['boss']=='1'){echo"<font color='orange'>$umob[name]</font>";}
if($umob['boss']!='1'){echo"$umob[name]";}
echo'<div class="empty2"></div>';
$kol70=$umob['hpmax']*0.70;
$kol30=$umob['hpmax']*0.30;
if($umob['hp']>=$kol70){$health="green";}
if($umob['hp']>=$kol30 and $umob['hp']<$kol70){$health="orange";}
if($umob['hp']<$kol30){$health="red";}
echo"<div class='hp'>
<div class='$health' style='width:".floor(100/($umob['hpmax']/ $umob['hp']))."%'></div>
</div>";
echo'<div class="empty2"></div><div class="empty2"></div><font color="#CDC9C9"> ('.$umob['hp'].'/'.$umob['hpmax'].')</font></td>
</tbody></table></div><hr>
';}
echo"<div class='head'><table width='100%' border='0' cellpadding='5px' cellspacing='0' style='padding-top: 5px;'>
<tbody>";

Mota , программой

В HTML писать htmlspecialchars. В SQL-иньекции mysql_real_escape_string или stripslashes()

<div class='$health' style='width:".floor(100/($umob['hpmax']/ $umob['hp']))."%'></div> и

echo"<div class='hp'>
<div class='$health' style='width:".floor(100/($umob['hpmax']/ $umob['hp']))."%'></div>
</div>";

Переписать код лучше

как тут закрыть хсс?
<a href="/start/step-1?act=w'.(!empty($inv['id'])?'&inv='.$inv['id']:null).'"><img src="/images/start/step-1-w.png"></a>

Toruz , а если не периписывать?изменить как то можно?

<a href="/start/step-1?act=m'.(!empty($inv['id'])?'&ref='.$inv['id']:null).'"><img src="/images/start/step-1-m.png"></a>
и тут хсс