И авторизация кстати говоря дырявая.
по адресу login_form.php?at_login=1 будет спокойно пропускать без всякого логина и пасса.