Что в логах, попытки взлома?

Размеры ответа, возможно, зависели от ошибок выдаваемых php.

В файле foto_107953.jpg другой мини-шелл, который скачивает и создает уже php-файл 1234567.php. Может быть таким образом скрипт для дампа базы закачали для большего удобства если предыдущий шелл чем-то не устроил.

а этот файл проверили? лучше даже во всех картинках сразу код поискать.

Вот засунули вы папку upload в специальный location, но /favicon.ico/.php ведь им не покрывается?

Стоит разобраться почему cgi.fix_pathinfo = 0 не помог.

Проверьте, например с помощью функции phpinfo() из обычного скрипта действительно ли эта настройка отключается. Может быть php.ini используется не тот, который вы правили или что-то еще нужно перезапустить.

Да, в нем все чисто. Очевидно favicon.ico используют чисто для идентификации уязвимости. Это выгодно делать, потому что такая картинка есть практически на любом сайте.

а как это сделать, если их десятки тысяч аватарок?

Отключается, но не помогает.

ну у вас же наверняка там mc есть. там в меню есть поиск по содержимому файлов.

в первом приближении, как-то так :

find . -type f |xargs grep '<?php'

но этот код не найдет скрипты которые, начинаются с символов <?

Спасибо за команду, сейчас пройдусь.