в users.dat вроде содержаться не пароли а сессии пользователей!
и если папка data вынесена из директории www, то она будет недоступна(если ошибся поправьте)! я эту багу видел давно всего на одном чате и то ее уже прикрыли!