crlf,

повторюсь, конфиги .bak/swp/(2)/.svn/git/тратата самое обычное дело. ты их и покидал в топик. config.inc.php.bak в пма такая же теоретическая ситуация как и pma/admin/ (скинь сюда или в личку живой пример такого бага, если не считаешь его теоретическим )

что бы не флудить: также помимо бекапов, временных файлов, часто в цмс и фраемворках файл с настройками подключения к бд бывает "типа защищен" (каким-нибудь .htaccess) или вообще никак не защищен. например в laravel по дефолту он (.env) лежит на каталог выше проекта. но разработчики любят размещать сайты в субдирах, или менять вебдиру (google:"index.of" ".env").

//edit

p.s. опа, еще один коллега по 272

__________________
Я так же грустен как орангутанг
Сидящей пред галдящею толпою
Суровый житель отогретых стран
Коварно преданный разлуке и покою
Ему и мне насмешница судьба
Дала для жизни крохотную клетку
Нам предстоит в ней долгоя хотьба
За тертую морковь, и за конфетку..