header ("Content-type: image/png")

[okram]

De preferencia usa die($img); en vez de echo $img;. Eso hará que la ejeución del script termine en ese punto, lo cual sería lo más adecuado.