Вместо пароля на почту приходит md5 хешь, что исправить?

 if($_POST['this']){
   $email = htmlspecialchars(trim($_POST['email']));
   //Опознаем пользователя по мылу
   $select = mysql_query("SELECT * FROM users WHERE email = '$email'") or die(mysql_error());
   //Генерируем новый пароль
   $rand = mt_rand(100,1000).mt_rand(2000,5000) * mt_rand(1,10) +2;
   $arr = mysql_fetch_assoc($select);
   //Достаем id
   $id = $arr['id_user'];
   //Если юзера с таким мылом в бд нет выводим соответствующее сообщение
   if($arr['email'] != $email){return exit("Пользователь с таким emaiil не зарегистрирован");}
   //Если норм, меняем пароль данному юзеру на тот который сгенерировали выше
   $password = md5($rand);
   $update = mysql_query("UPDATE users SET password = '$password' WHERE id_user = '$id'")or die(mysql_error());
   //Если все норм, готовим сообщение
   $to = $email;
   $title = "Востановление пароля";
   $message = "Здравствуйте {$arr['name']}, ваш новый пароль к сайту {$password}";
   $mail = mail($to,$title,$message);
   //Опознаем пользователя
   if($mail){
      echo $arr['name']." Ваш новый пароль выслан к вам на email адрес <br />";
    }
    else {return exit('Ошибка при отправке сообщения');}


 }

function getPassword($password,$id){
  stripslashes($password);
  $ipassword = trim(md5($password));
  $update = mysql_query("UPDATE users SET password = '$ipassword' WHERE id_user = '$id'")or die(mysql_error()) ;
  if($update){return true;}


}

  $id = $_SESSION['id'];
  $password = mt_rand(1,10).mt_rand(10,50).mt_rand(50,100).mt_rand(100,1000) * 3;
  getPassword($password,$_SESSION['id']) or die("Косяк") ;
  echo "Ваш новый пароль". $password;

И еще, странный вопрос, но:
сделал я регистрацию, а как запретить не зарегистрированным пользователям закачивать файлы? Т.е. есть форма, как ее закрыть для не зарегистрированных, чтобы появлялось не что, вроде как : Пожалуйста, зарегистрируйтесь?


И еще
Как правильно создать
Url запроса:
http://phoneverify.org/api.pl?email={email}&password={password}&id=sendsms&cellphone={cellphone}&code={code}
опираясь на
Входные данные:
1. email - Адрес электронной почты, используемый для входа в личный кабинет.
2. password - Пароль, используемый для входа в личный кабинет в MD5 хэше следующего вида: MD5(email.MD5(password)) .
3. cellphone - Номер сотового телефона на который сообщить код.
Только мобильные номера России. В формате 7XXXXXXXXXX.
4. code - Код, который вы хотите сообщить пользователю в смс-сообщении.
Длина от 1 до 10 буквенно-цифровых символов.

Пример:
http://phoneverify.org/api.pl?email=admin@...00000&code=1234

Не могу верно составить поле password={password}&