Дмитрий

В принципе все, что угодно) В результате выполнится код присланный параметром 'reg'. А там все зависит от фантазии.

Все что захотят эти самые злоумышленники. Прочитайте эту статью и все сразу поймете.
Злоумышленник передаст в запрос параметр REG с нужной ему строкой (PHP кодом). А уж что он там напишет зависит только от его фантазии и намерений.

owasp top10

Да точно так же, как управляешь рабочими процессами:

1. определить цели и приоритеты
   
2. обозначить шаги и контрольные точки
   
3. придерживаться плана
   

Если нет времени/сил/информации/чего-то-ещё, значит задача №1 - высвободить или восполнить недостающие ресурсы. Если они под завязку в работе, значит опаньки - пришло время поразмыслить над образом своей жизни.

Тестируйте, так вы выявите имеет смысл это под вашу аудиторию или нет. Естественно проанализируйте результаты по месяцу. Возможно одна площадка вообще выпадет по результатам статистики.

На будущее - php.feedme.ru :)

Эта книга поможет вам подготовиться. Охватывает наиболее часто встречающиеся вопросы на собеседованиях. Лично на моём опыте проверено.

https://www.kobzarev.com/wp-content/uploads/books/...

Поиск уязвимостей на сторонних веб-ресурсах без договора может быть чреват уголовным наказанием независимо от того, благую вы преследовали цель или нет.
Представьте ситуация, что в ваш дом вошли люди, потому что увидели незапертую дверь, полазили в нем, а потом уведомили вас о том, что обнаружили в доме места, где лежат ценные вещи, в связи с чем предложили предпринять необходимые меры. А раз вы уже залезли без спроса в "чужой дом", найдите электронный адрес службы безопасности, администраторов веб-ресурса либо службы техподдержки и сообщите об уязвимости, чтобы смягчить вашу участь в случае возбуждения против вас уголовного дела.
Для повышение своих навыков лучше используйте специальные тестовые полигоны www.securitylab.ru/blog/personal/Informacionnaya_b...

Для поисковиков без разницы, для людей желательно, чтоб не больше одного дефиса. А вообще нужно думать, какой проект и для кого делаешь.

Так, для компьютеризированной аудитории любые символы без разницы, скорее всего люди этой категории как минимум сохранят файл в избранное. И, как показал Menaskop в смежном ответе, действительно, домены такие есть и раскручены.

Другое дело - отрасль удаленная от IT. Все же лучше сайт про рецепты тортов, поклейку обоев, рыбалку сделать без тире. В этом также достаточно убедиться, поискав сайты на бытовые темы в зоне .com. Вы увидите, что там домены уже идут из 3-4х слов, тире в большинстве случаев нет.

Также надо задуматься - брендовый вы делаете ресурс или нет. В брендовом КОРОТКОМ тире допустимо, а иногда даже приветствуется. В обыкновенном менее желательно.

В крайнем случае в дальнейшем при необходимости можно будет купить еще один домен и произвести склейку.