[captaindoe]

Använd strip_tags() som Erik säger.
http://php.net/manual/en/function.strip-tags.php

Så istället för din str_replace kod så använder du följande:

PHP-kod:

$search = mysql_real_escape_string(strip_tags($_GET['search']));