1. Все же пути. Если они верные, то нажав по ссылке в дебаггере ты должен увидеть картинку. Или код ошибки, например 404 или 502. И плясать уже должен от кода, 404 — ссылка ведет не туда, 502 или другая — криво настроенный сервер и т.д.
2. Настройка сервера (врядли) можно закрывать доступ к директориям и типам файлов, но такое делают осознанно для выдачи ресурсов под расписочку.