2 nikoTM
Примерно таким:
$mysql_query="SELECT * FROM prefix_users WHERE username=' ".$username." ' and password='".$password.'";

Тогда при вставке твоего кода получается:
$mysql_query="SELECT * FROM prefix_users WHERE username=' ' or 1=1/*" ' and password='".$password."';
То есть если нет пользователя с пустым именем, то извлекается первый попавшийся пользователь.

__________________
Нельзя считать себя достаточно взрослым, если у тебя школьные фотографии - цифровые.