зачем тут запостил код генерации капчи, если у тебя проблема в логике обработки получаемого значения от пользователя?
хотя то, что при пустом $_SESSION['secpic'] и пустом $_POST['secpic'] $test у тебя будет TRUE, видно сразу. с чем ты его там сравниваешь и зачем вообще непонятно.