Превентивная защита ваших и не ваших скриптов

$uploaddir = «temp_folder/»;

$host = $_POST[«host»]; //ccылка вида habrahabr.ru/file.jpg

$expansion = strtolower(strrchr($host, ".")); //выясняем расширение файла в строке
$filename = $uploaddir.«temp_file».$expansion; //полный путь загруженного файла

ini_set('max_execution_time',600);//устанавливаем время работы скрипта

//закачка
$fp=fopen($filename,«w»);//создаем пустой файл
fclose($fp);
$ch=curl_init();
curl_setopt($ch, CURLOPT_URL, $host);//запускаем сеанс curl
$fp=fopen($filename,«w+»);//открываем файл для записи
curl_setopt($ch, CURLOPT_FILE, $fp);// записываем в файл
curl_setopt($ch, CURLOPT_REFERER, $host);
curl_setopt($ch, CURLOPT_AUTOREFERER, 1);
curl_exec ($ch);//выполняем команды curl
curl_close ($ch);//завершаем сеанс curl
fclose ($fp);//закрываем файл

$new_file = «новая папка/новое имя файла»; //полный НОВЫЙ путь загружаемого файла

rename($filename, $new_file); //перенесли файл в новое место

@unlink( $filename );

Я обычно весь загружаемый контент выношу на отдельный поддомен, на котором вообще все скрипты отключены.

<?php
$r = pathinfo('/www/uploads/file.php.rar');
print_r($r);
?>

Array
(
    [dirname] => /www/uploads
    [basename] => file.php.rar
    [extension] => rar
    [filename] => file.php
)