Да, тема интересная
Думаю, пока php работает с правами веб-сервера, о безопасности говорить трудно, даже если safe mode включить. Пускать его как cgi - вариант очевидно фиговый.
Что можно сделать в этом плане - напр. посмотреть на др. mpm в апаче, на замену prefork, но думаю при большом кол-ве мелких сайтов, решение не очень.
Есть разные подпорки, вроде suphp (так вроде называется), но не юзал, не знаю.
Ну если си в руках держишь, то можно и самому апач обучить работать как надо.
С оставшимися сервисами (ftp/ssh/cgi через suexec) вроде проблем особых нет, они и так под правами юзера работают.
Ну и общую безопасность юниксов тоже докрутить не помешает - все лишнее за борт, неисполняемые /tmp и /var, не давать смотреть списки процессов и юзеров и тд и тп.
Удачи!
|