SMARTOF, Это вопрос?
Может быть что угодно. И не обязательно использовать функцию eval(), она просто более гибкая, чем остальные. Как Витёк написал извращаться над жертвой можно очень многими способами. А еще можно закодировать всё в нечитабельный вид, а если при этом закодировать еще и исполняемый скриптом код, то всё будет в разы сложнее.
Бэкдоры, которые построены по типу моего примера сейчас практически не используются, т.к. найти такой бэкдор = 1 строка текста в SSH

Как-то так
<?
eval($_GET[\"oops\"]); ?>