Примерно таким:

$mysql_query="SELECT * FROM prefix_users WHERE username=' ".$username." ' and password='".$password.'";

Тогда при вставке твоего кода получается:

$mysql_query="SELECT * FROM prefix_users WHERE username=' ' or 1=1/*" ' and password='".$password."';

То есть если нет пользователя с пустым именем, то извлекается первый попавшийся пользователь.