1) Все познается в эксперименте. Самому попробовать слабо?
2) Через <img srс= веб-шелл прикрутить не получится. Так можно было бы хоть тот же ачат сломать, поставив