Молодец. Важно заметить, что шелл должен быть не <?php а строго <? и есть возможность залить чистый php без картинки. Я делал так: Создал два файла с одинакомвы содержимым php (Для того чтобы совпадала Content-Length), но с разными расширениями. Первый jpg второй php. На самом для того, чтобы обмануть клиентский валидатор, который мне лень было отключать. Ловим бурпом jpg меняем расширение на php и бинго.