Что прописать в .htaccess, чтобы сервер не выдавал исполняемый файл на скачивание?

Здравствуйте

Занимаюсь тестированием финансового проекта на уязвимости. Главный программист ужаснейший зануда, поэтому получить доступ к конфигам - проблема.

Имеется скрипт заливки изображений. Проверку mime типов успешно обошёл. Проверку, чтобы имя файла регистронезависимо не содержало .php и .shtm - успешно обошёл.

Действия:
- Добавил в .htaccess строчку AddType application/x-httpd-php .php .htm .html .phtml .hack
- Залил файлик test.hack
- Залил .htaccess
При переходе на test.hack файл просто выдаётся на скачивание

Как обойти сию защиту? Доступ к скриптам сервера имею, все исходники имею. Выполнить произвольный php код на сервере могу. Только файлов конфигов нет