Для начала можно поискать у старых сканеров , вот дальше бы я бы прикупил бы шелл на какой-нить хостер и собрал все дерево файлов - а дальше частотный анализ названий дир на часто используемые диры. И конечно можно собрать что то типа автоматический снимать отпечатка со скрипта: типа поставил софтину и натравил скрипт , а она все пути собрала с морды