(1) и (2)
хм, я бы не сказал, что это недостатки, это обычное разграничение прав

(3)
это вообще не при чем

(5)
А это достоинство

Хорошо. Собственно это сворее недостатки. Лукавство хостингов, о чем они не говорят.

Например.
по 1)

На многих хостингах можно получить список акаунтов просто командой
cat /etc/passwd. Для примера валуехост. Вот часть файла.

vispar95:*:2370:1000:vispar95:/pub/home/vispar95:/usr/local/bin/bash narina:*:2372:1000:narina:/pub/home/narina:/usr/local/bin/bash betaneli:*:2377:1000:betaneli:/pub/home/betaneli:/usr/local/bin/bash cmo144:*:2378:1000:cmo144:/pub/home/cmo144:/usr/local/bin/bash ark53:*:2379:1000:ark53:/pub/home/ark53:/usr/local/bin/bash jaluzi90:*:2380:1000:jaluzi90:/pub/home/jaluzi90:/usr/local/bin/bash dvision:*:2383:1000:dvision:/pub/home/dvision:/usr/local/bin/bash pes75:*:2384:1000:pes75:/pub/home/pes75:/usr/local/bin/bash fbgroup5:*:2386:1000:fbgroup5:/pub/home/fbgroup5:/usr/local/bin/bash zabor76:*:2391:1000:zabor76:/pub/home/zabor76:/usr/local/bin/bash plsamara:*:2392:1000:plsamara:/pub/home/plsamara:/usr/local/bin/bash eyeinst1:*:2393:1000:eyeinst1:/pub/home/eyeinst1:/usr/local/bin/bash proton29:*:2395:1000:proton29:/pub/home/proton29:/usr/local/bin/bash flexi42:*:2396:1000:flexi42:/pub/home/flexi42:/usr/local/bin/bash august68:*:2397:1000:august68:/pub/home/august68:/usr/local/bin/bash babsley2:*:2403:1000:babsley2:/pub/home/babsley2:/usr/local/bin/bash demark61:*:1001:1000:demark61:/pub/home/demark61:/usr/local/bin/bash lens62:*:1002:1000:lens62:/pub/home/lens62:/usr/local/bin/bash ppb:*:3307:8081:Petr Pokryshev:/home/ppb:/usr/local/bin/bash ecogermet:*:1008:1000:ecogermet:/pub/home/ecogermet:/usr/local/bin/bash batuto:*:3308:3308:Yan Batuto:/home/batuto:/sbin/nologin skspad:*:1019:1000:skspad:/pub/home/skspad:/usr/local/bin/bash leokan:*:1005:1000:leokan:/pub/home/leokan:/usr/local/bin/bash nreal72:*:1034:1000:nreal72:/pub/home/nreal72:/usr/local/bin/bash lifearmy:*:1036:1000:lifearmy:/pub/home/lifearmy:/usr/local/bin/bash bystrov:*:1039:1000:bystrov:/pub/home/bystrov:/usr/local/bin/bash cheget76:*:1042:1000:cheget76:/pub/home/cheget76:/usr/local/bin/bash balta110:*:1045:1000:balta110:/pub/home/balta110:/usr/local/bin/bash rbmspa69:*:1053:1000:rbmspa69:/pub/home/rbmspa69:/usr/local/bin/bash zaur66:*:1059:1000:zaur66:/pub/home/zaur66:/usr/local/bin/bash max:*:3311:3311:Maxim Sergeev:/home/max:/usr/local/bin/bash mirraya9:*:1065:1000:mirraya9:/pub/home/mirraya9:/usr/local/bin/bash mbaclub:*:1073:1000:mbaclub:/pub/home/mbaclub:/usr/local/bin/bash ggau85:*:1033:1000:ggau85:/pub/home/ggau85:/usr/local/bin/bash gax67:*:1081:1000:gax67:/pub/home/gax67:/usr/local/bin/bash lifearmy:*:1093:1000:lifearmy:/pub/home/lifearmy:/usr/local/bin/bash stor:*:3312:3312:Pavel Storozhev:/home/stor:/bin/tcsh staff799:*:1098:1000:staff799:/pub/home/staff799:/usr/local/bin/bash orendom8:*:1101:1000:orendom8:/pub/home/orendom8:/usr/local/bin/bash snd:*:3313:3313:Sergey Daniloff:/home/snd:/sbin/nologin titeleco:*:1111:1000:titeleco:/pub/home/titeleco:/usr/local/bin/bash strong:*:1133:1000:strong:/pub/home/strong:/usr/local/bin/bash labreact:*:1004:1000:labreact:/pub/home/labreact:/usr/local/bin/bash kabanov:*:1007:1000:kabanov:/pub/home/kabanov:/usr/local/bin/bash mgorod:*:1020:1000:mgorod:/pub/home/mgorod:/usr/local/bin/bash

Подобная информация дает преимущество взломщику, при установке местоположения фалов сайтов сервера.

У некоторых хостеров можно путешествовать по серверу как у себя дома, изучая его устройство.

Также почти все хостинги предлагают возможность создания дополнительных ftp акаунтов на другие папки, но никто не говорит о том, что если залить шел то доступ будет получен на весь сайт, поскольку права естественно одинаковые.

Пункт 3)

Многие хостеры ограничивают пользователя запуская PHP к Safemode. Этот режим как бы делает безопасным работу php, но никак не безопасную работу для сервера хостера. Поэтому если у вам не получается полазить по серверу с помощью PHP, вы можете это попробовать сделать с помощью Perl. Вполне возможно, что хостер что нибудь забыл.

4) Возможность обхода mod_security

В общем модуль обходится вообще без проблемм. Да он фильтрует GET и POST переменные, да и вообще еще довольно много параметров, но этот модуль не в состоянии отследить простую вещь.

<?
echo system("cat /etc/passwd");
?>

system() при SafeMode не работает

Ну есть еще и перл...

Кстати есть один прикол я так. Есть хостер masterhost. По умолчанию все клиенты у него находятся в php - Safemode. И в тоже время ими же предлагается "Если вам это не нравится можете поставить свой Php". Делается там это довольно просто. И естественно PHP будет работать без Safemode. В чем тогда смысл этого сейф моде я не лично вообще не понимаю.

>В чем тогда смысл этого сейф моде я не лично вообще не понимаю.
в нескольких фишках типа safe_mode_allowed_env_vars, safe_mode_protected_env_vars, safe_mode_exec_dir, safe_mode_include_dir, safe_mode_gid

он типа проверяет права файла и юзера на соответствие

маразматично

А ну да кажется понял. Типо при установке своего php начинают работать типа system, exec но в тоже время в апаче действуют переменные safe_mode