Atacante acessando arquivo fora do public_html

Boa noite.

Ontem, o website de um amigo meu foi invadido e ele me chamou para aprimorar a segurança.

Li os logs, vi a falha e achei que estava tudo resolvido. Coloquei uma página HTML básica de manutenção.

Mas o website foi novamente atacado, mesmo sem conteúdo dinâmico.

Então, fui à procura de qualquer anormalidade, e a árvore de arquivos é mais-ou-menos assim:

./

- home

- etc

- public_html

- logs

- (etc...)

Dentro do diretório etc, encontrei uma shell (espécie de backdoor baseado em Web), por onde o autor do ataque conseguia modificar os arquivos.

Apaguei a shell e problema resolvido. Mas ficou uma dúvida, apenas por curiosidade:

Como ele conseguia acessar o arquivo fora do public_html?

Ele não possuía a senha do CPanel ou FTP. Nos logs de acesso nem apareciam seus requests.

Fui fazer uns testes e fiz, por exemplo:

site.com/../home/test.php

site.com/~home/test.php

Mas nenhum deles funcionou.

Não há discos virtuais, redirecionamentos nem coisa alguma apontando para este diretório ou arquivo.

Como é possível acessar arquivos desta forma? Como é a prevenção?

Grato desde já.