Не торопись) Я покороче хотел объяснить просто, а получилось не понятно)
Смысл в том, что ты отправляешь админу урл картинки для установки аватара: http://sniffer/1.php
У админа эти картинки все отображаются в панели. Не зависимо от того, будет он подверждать аватар или нет, его REFERER уйдет на сниффер. А по нему зайти уже не проблема. потому что в админке идентификация строго по сессии, причем после нового захода в админку, старая сессия тоже будет действовать. какие ограничения - не проверял.