если скрипт ничего не скажет на расширение php то можно!
иногда програмери делают тупую проверку
типа такого
if (strpos('.jpg',s)) {
...

тогда прокатит такая фича
shell.jpg.php

если на сайте есть местная php иньекция, то и расширение можно оставить .jpg, а потом просто подключить!