Hmm, wenn die nicht ausführbar sind, gibt es meist einen Serverfehler oder wenn es dumm kommt, kann der Quelltext gelesen werden – alles eine Frage der „Verkonfigurierung“.

Konfigurationsskripte sollten deswegen auch in einem nicht vom Web aus zugänglichen Verzeichnis liegen oder es sollte wenigstens per .htaccess mit deny from all geschützt ein. Zudem muss ja jemand erst einmal den Dateinamen erraten, um überhaupt zugreifen zu können.