questo script è soggetto alle SQL injection... e fra l'altro si tratta del classico caso di scuola riportato classicamente come esempio...

Codice PHP:
$username = $_POST['username'];  
$passwd = $_POST['passwd'];  

$sql="SELECT * FROM users WHERE username='$username' and passwd='$passwd'"; 
... senza poi contare le troppe chiocciole (operatore silent) sparse nello script...

---------------

venendo al tuo quesito per fare quello che cerchi è possibile strutturarlo in modo più o meno complesso in cui il top sarebbe la realizzazione di un ACL acronimo di access control list (ma non è propriamente semplicissima da sviluppare).

Una cosa + semplice sarebbe quella di modificare la tabella utenti inserendovi un campo di tipo INT chiamato, ad esempio, "livello"/"ruolo"/"id_role" (eviterei potere... per una serie di ragioni)

Inoltre, se proprio non si vuol scomodare cose complesse e OOP mi creerei un piccola libreria di funzioni (verifica dell'tente loggato, controllo del ruolo, controllo dei permessi/poteri) e un relativo file di costanti/impostazioni con cui gestire i diversi ruoli e i poteri associati a ciascuno di essi.