пан_инклуд может инклудить только локальные файлы, поэтому и надо грузить аватару
а passwd я показал просто как пример- ведь уже понятно что можно создать было любой php скрипт
а насчет чего-нить поинтереснее заинклудить- то не хотелось палить это кое-что интересное