Arquivos que o site não mostra
Nem todo arquivo no servidor tem um link, mas quem sabe o nome acessa.
Um servidor web guarda arquivos e entrega cada um quando alguém pede o endereço certo. Um arquivo não precisa ter um link apontando para ele: se você souber o nome, pode pedir direto, mesmo que nenhuma página leve até ele.
O lugar clássico para achar pistas é o robots.txt, um arquivo que fica na raiz do site (em exemplo.com/robots.txt) e lista caminhos que os buscadores devem evitar:
User-agent: *
Disallow: /admin/
Disallow: /backup-do-site.old
Veja a ironia: para pedir que ninguém indexe o /admin/, o dono escreveu o endereço dele num arquivo público. Pedir para não indexar não é proteger. Qualquer pessoa pode abrir esses caminhos à mão.
Outra fonte comum são backups esquecidos, com final .old, .bak ou .zip, que guardam uma cópia do site com senhas e configurações. Esconder um endereço não é o mesmo que controlar quem pode acessá-lo: só o controle de acesso faz isso.