Guarda solo l'estenzione del file nell'URL, se è jpg, gif o png l'accetti, altrimenti no.
Anche se mettono un file .php rinominato in .jpg, il server non lo processa come script php perché non riconosce l'estenzione come di sua competenza.