Через адресную строку он мог узнать это через sql или php инжекцию (в форуме твоём))), либо он админ сетки\друган админа, либо сетка кривая. ))

Коннектиться можно загрузив sql менеджер на сайт. Он есть в шелле от rst, в с99shell, их дохрена.

Так же он мог стянуть твой пасс через xss, залогиниться и назначить себя главной женой.

__________________
Full DNS report