Gracias por responder alvlin
Pero ya encontre mi error, estaba en la forma de pasar los paramtros, estaba enviando la variable $user, pero como tal, es decir el valor era $user no el valor real de a BD.
pa que me explieque mejor estaba haciendo esto
<img src="imagen.php?usuario=$user&contr=$pass">
en vez de:
<img src="imagen.php?usuario=<?echo $user;?>&contr=<?echo $pass;?>">
Gracias de cualquier forma, me sirvio mucho revisar a detalle los scripts, ya que tambien las comillas las cambia por comillas simples en la busqueda
$sql = " SELECT img FROM candidato WHERE id_cand = '$usuario' and contr_cand = '$contr' ";
Gracias