Ya probaste imprimiendo los datos de $session para verificar que efectivamente el usuario existe? Agrega la línea que tiene print_r()
Si no imprime es que por que la consulta no trajo resultados. Entonces deberás verificar que el usuario exista, y si te imprime los resultados entonces verás la password real.