запустить шелл из /tmp, можно только если на сайте есть локальный инклуд. по другому никак
или ищи папки которые из веба доступны

p.s: что такое инклуд -> google...