в бурпсуите перехвати запрос и посмотри. можешь им же и побрутить потом интрудером. пароль судя по всему в sha256 у тебя шифруется перед отправкой. а вообще в гугле вроде на гитхабе лежит сорц движка твоего, посмотри исходники