Cita:
Iniciado por marcolandia 
Tenés razón, esa es la forma más segura... pero como decís es un "coñazo"
Yo he encontrado otra vulnerabilidad, y es la de poder incluir la misma página que se está cargando
Ejemplo:
index.php?pagina=index
Esto lleva a un bucle infinito de inclusión, que suele acabar en que el navegador muestra un diálogo de descarga de "index.php" al usuario. (Si lo descarga, no verá las líneas de PHP, claro está), aunque también puede acabar en múltiples mensajes de error.