上传gif木马,我该怎么解决

我的网站总被上传木马,今天我在我的上传目录里发现了2009810225920image.gif,但我一看不是我的,我下载下来,一改成asp,
晕,他能运行,
第一说明我上传有漏洞了,对吧?我只允许gif,jpg的上传,他改扩展名,我怎么判断呀?
第二,就算他传上来了,我也运行了,显示代码了,我想知道他通过什么把这个gif按照asp来运行的?他怎么做到的?