У меня в error_log пишется только название файла (some_file.php), а запрос к нему, в котором как раз и лежит код пхпшный, не пишется.. так что это не вариант.

Ну а насчет инклуда шелла - ну код пхпшный выбирается исходя из фантазии хеккера +) Так что будь то include или system($_COOKIE[cmd]) или что еще - это уже детали.
Да, в конце кода еще стоит дописать die; чтобы не тянуть с собой остаток лога.

Само собой, после укрепления в системе эту строчку из access.log стоит удалить