идентификатор сессии хранится в качестве куки на компьютере, т.е. подменив этот куки, мы получим другие данные сессии. не так?так, вопрос только как залезть в компьютер? Если безопасность компьютера на нуле, последнее что вас будет интересовать - данные из куки, проще тогда уже перехватить пароль на этапе ввода, это гораздо интереснее.
var_dump($_POST); // проверить что вообще пришло
$query = "UPDATE `users` SET `password` = '$password' WHERE `users`.`login` = '$login'";
echo $query;