hocm afedersinizde ileri düzeyde ise eval kodunu daha önce hiç duymadınızmı acaba yani merak ettim sadece

eval() iş görür. güvenlik için disable_functions yönergesine göz atmanızı öneririm.

Klasör vermeniz bir şeyi değiştirmez. Nitekim eval() ile sunucuya format bile atılabilir.

Yapmanız gereken basit olarak yukarıda da söylenildiği gibi, sunucuya ciddi müdahaleler yapılabilecek fonksiyonları engellemek. Ya da -mantıklı olarak- fonksiyonların parametrelerini inceleyecek bir sistem yapıp zararları kullanımların önüne geçmek.