DJLOVE Ну вот смотри...
есть папка у тя например ./www/download/musik/
вот ты ее никому не показываешь, а в ссылках, например генеришь в зависимости от сессии - например на 30 минутак ссылку типа
http://yoursite.com/29sdfghlkj43987klhdsg97843/1.mp3, вся эта абракадабра - сессия юзверя которая выдаеться либа мд5 + юнитайм, либо sessionstart();.. - это раз
два есть в бд таблица например site_session - в ней колонка dwd_id - вот если он че-нить качает - туда вноситься например 1.mp3|2.mp3|3.mpeg, - после чего когда скрипт обновляеться - кум-нить другим - идет проверка на count(explode("|",$r['dwd_id'])); - вот так - если больше $max_dwd_num (=2), значит - выдать вместо замаскированной папки - мессагу ху*я и тот кто качает - подождет пока закачаеться первый файл, после только начнет качать фторой...
а вообще посмотри антилич