mysql_num_rows conta i risultati quindi va bene.
Il problema è un altro. Il codice che usi non è sicuro. Ti conviene selezionare un utente solo per password (e la password la fai così: md5($username . $password), in mdo da ottenere valori unici).