Ну теперь ищи где лежит база sql.
Пробуй xxx.ru/xxx?=../../../../../etc/passwd or .htacces.
Ищи любый sql ошибки, так как при удачном исходе вылезет как раз ссылка на sql.