ma nel SELECT devi mettere esattamente il nome dei campi... poi fai:
$result = mysql_query($query,$db);
$row = mysql_fetch_array($result);

e in $row[username] e $row[password] ti trovi i dati richiesti...
però username e password devono essere i nomi dei campi della tabella...