Ya que se ve que eres más corto que las mangas de un chaleco te lo voy a volver a explicar con palabras sencillas, a ver si así lo entiendes.
Como ves tu has dicho que "NI CON VULNERABILIDADES" yo te he puesto de ejemplo un LFI, que te permite ver el código del lado del servidor, puedes leer sobre el tema y verás que es así. Dicho esto, también significa que DEBE existir una vulnerabilidad para poder ver el código del lado del servidor, no es algo universal.
Si no, súbete un php vulnerable con un LFI y verás si se puede descargar o no.
Dicho esto, he leido tu post en el que hablas del proyecto de esa url que has pasado, ten ojo discutiendo con la gente por internet que pillas a alguien menos buena onda que yo y puedes tener un jaleo.