Описанная ситуация означает, что картинки хранятся в БД и ссылки на них могут быть сгенерированы как автоматически, так и просто браться названия и заноситься в бд проходя md5() преобразования.
Поиск нужного пути - одна из самых типичных и трудоёмких задач при атаке. Есть софт который тупо перебирает директории, но это сработает лишь если директория открыта на просмотр (
Directory Listing
). - Кстати вот и ответ, "чем плохи открытые для посмотра директории".