мм..
вот, смотрела когда то
Обход фильтрации загружаемых изображений в ряде Web-приложений для осуществления XSS атак
http://www.dsec.ru/about/articles/web_xss/

там о картинках. В частности