При загрузке файла его переименовывает в какую-то гадость(которая состоит из timestamp в unix-формате и еще каких-то символов) еще и расширение меняет(например без разрешения файл грузил - поставилось разрешение "ess", грузил png - поставило "jpg", при этом не было доступа к ней, а если переименовать по ссылке на png - открывалась картинка). Двойные расширения не проходят с ошибкой problem to read source C:\\session\php7B07.tmp - по этому и подумал про анализ по содержимому.

Шелл переименовывал: в смысле расширение, два расширения.