Защитен от какво ?dir командата ще проработи.
Format C:\ ще проработи ?Кое е защитеното.
htmlspecialchars();просто променя ' и " на ' &qute <> на < > & на & -> не виждам забрана за format C:\
@banned може и на zzzazzazazzad да се промени,така например качваш shell в самия индекс,и...