いやー、知らんかった。
mt.cfgファイル、./dbディレクトリ、丸見えだったんですねぇ。
ブラウザでアクセスしてみたら丸わかり。（汗

Magic Whiteさんのエントリー、●BLOGTIMES複数表示、mt.cfg見れないようにを読んで、早速見れないように修正。

nlog(n)さんのmt.cfg とデータベースを守るをまんま参照して、.htaccessファイルを作成。

ありがとうございました。

以下、自分用メモ。


●mt.cfg用.htaccessファイルの中身↓

<Files mt.cfg>
<Limit GET>
deny from all
</Limit>
</Files>

　
●./db用.htaccessファイルの中身↓

<Files *>
<Limit GET>
deny from all
</Limit>
</Files>

それぞれ、適当なエディタで上記の中身を書いた、ファイル名無し拡張子のみの.htaccessというファイルを作成（ファイル保存する時、よくわからんので、MTと同じ文字コードUTF-8で保存しました）し、mt.cfg用はmt.cfgと同一ディレクトリに、./db用は./dbディレクトリ内にアップロード。

これだけで、ブラウザから見ることはできなくなりました。

ちなみに、私はロリポユーザーです。

あー忘れてた。（笑）
.htaccessファイルのパーミッションは604にしときました。