Честно, я совсем недавно про это начал читать. Пока понял, что 755 для папок и 644 для файлов — вроде стандарт, чтобы не дать полный доступ всем. Но если CMS или хостинг какие-то свои штуки включают, то может и иначе работать. Главное не ставить 777, а то реально могут залезть. Пока так проще всего понять.