Если плагин содержит "нужный" код - легко можно пройтись по всем файлам, узнать содержимое wp-config, оттуда взять доступы к базе и т.д.
А запросить такой "правильный" файл можно и напрямую
site.ru/wp-content/plugins/plugin-shell.php и не будет разницы включен он или нет.
