Подкаталоги captcha и smiles из includes вынесены в корень сайта, а доступ в includes закрыт для доступа извне (если используется Apache)