Il file della password solitamente č messo a monte della document_root per evitarne lo scaricamento, dovresti riuscire a spulciare nel file di configurazione di apache (httpd)