Играйтесь с расширением и нулл-байтом. Также не забудьте проверить ssi и извращенные php-расширения вроде phtml, php[345] и прочие. К слову, не редко веб-серверы настроены на обработку хтмл интерпретаторами. Проверьте inline-теги разных языков. В конце концов, у вас как минимум уютная активная хсс.