Pa lako, izvuces datum stavis ga u varijablu i onda varijablu upisujes u .txt. 

Moraš da filtriraš ulazne podatke! SQL injection mogu da koriste klinci da bi se igrali. . .

Ajde probaj da uneseš u username polje umesto imena korisnika: ''DELETE * FROM admins'; i vidi šta će se desiti! (ovaj prvi navodnik nije dvostruki nego dva jednostruka)

Obezbeđenje moraš da popraviš, nije neophodno da praviš "fort nox", već samo da obezbediš barem da ne može sql injection da se uradi.  Imaš razne načine za to i nisu teški, pogledaj na netu: mysql_real_escape_string, addslashes itd.  
npr.
$password =addslashes($_POST['password']);

pa je to još i šifra za koju bi trebao da koristiš hash:

$password =addslashes(md5($_POST['password']));

i eto zaštitio si se (mada može to i bolje) od SQL Injection, a i zaštitio si šifre od slučajnih prolaznika.