Какая ещё сноровка? Пароль ты вытаскиваешь из инъекции в запросе с SELECT. В mysql нету разделения запросов, т.е. ты не можешь выполнять другие инструкции (UPDATE, GRANT, INSERT etc) если изначально выполнялся селект из бд.