Нужен хостинг с защитой от шелов и прочего

>> Как сказал smart2web только через open_basedir.

Я не буду с Вами спорить, но open_basedir абсолютно бесполезная штука, не кто не мешает вызвать любую функцию из семейства exec и запустить отдельный процесс без open_basedir, при этом не обязательно на php.

Можно запретить половину функций, но часть CMS при этом точно перестанет работать.

Ну тогда по разным дата-центрам разносить сайты, чего уж там.

Интересно, какая CMS работает с функцией exec и еще интересно, почему мы не рассматриваем php как модуль апач? Какие еще отдельные процессы?

То есть предполагается выключать функции exec ? Насколько я знаю у Bitrix долгие операции реализованы в том числе через exec (хотя могу ошибаться). Так же бывает нужно вызывать ffmpeg, curl - года 3-4 назад мы собирали статистику по вызовам этих функций и как не странно они используются.

Мы как раз и рассматриваем php как модуль apache, но при этом он работает из под разных пользователей. Но тут проблема даже не в PHP... Ок может пользователь будет использовать python, node.js или perl не дай бог. То есть данный вопрос надо решать комплексно, не на уровне отдельно взятого языка с его костылями - а на уровне операционной системы.

---------- Добавлено 24.03.2017 в 16:29 ----------

>> Какие еще отдельные процессы?

Не могу не задать вопрос - а как по вашему работает php как модуль apache ? Обрабатывает все запросы в рамках одного процесса ? =) Или же все таки apache, например создает несколько потомков - передает им обработку запроса, далее в зависимости от сайта потомок суидится в пользователя и уже потом вызывает php в рамках своего процесса для обработки запроса =)

Согласен, но open_basedir не даст такому процессу попасть выше указанного значения.

Вы мои сообщения читаете ? Это только в том случае если у ваз заблокированы все функции аля exec - что фактически причиняет боль пользователям. И это работает только в случае PHP.

А если посмотреть более внимательно http://php.net/manual/ru/ini.core.php open_basedir изменяется PHP_INI_ALL после версии 5.3 что означает http://php.net/manual/ru/configuration.changes.modes.php "Значение может быть установлено отовсюду" - ну кто мешает получив доступ к файлу, изменить .htaccess ?

При этом Вы продолжаете уверять меня, что open_basedir защитит сайты пользователей ?

Алексей, поделитесь пожалуйста ссылочкой, где можно почитать?

Действительно, open_basedir теперь можно менять везде, но практика показывает что вирусня пока не догадывается до отмены open_basedir и заражается обычно только тот сайт который дырявый, возможно ей этого достаточно. Лучше всего не использовать всякие дырявые системы, вовремя обновлять CMS, ну и на крайний случай действительно раскидывать по аккаунтам где уже будет 100%я изоляции.

PS> Про систему изоляции бегета хотелось бы тоже почитать, а пока не понятно о чём там речь.

open_basedir

вообще не поможет, нужно изолировать на уровне пользователей.

а отключение функций в php это костыли которые только мешают.

Зря Вы так думаете, есть и такие, которые не только заражают соседние сайты пользователя, но и например заливают скомпилированную прогу в общедоступную директорию и шлют СПАМ!

open_basedir вообще лишний параметр, который только тормозит работу сайтов и ни как не помогает.

Речь не обезопасить сайты в целом от взлома. ТС прекрасно понимает, что это вполне возможно, а разделить, что бы один сайт не заразил другой, а с basedir это в принципе достигается при должных настройках сервера.