при чем тут сайт жертвы??

а что если ты какимто способом получил доступ к .htaccess или к конфигу? тада спокойно переименовуй shell.php в shell.jpg и вперед за орденами...
зы: кста как вариант - маскировка шелла под граф файл...