在我的域名上给人一个子域名有什么危险？

是的，如果你让别人运行随机PHP脚本或其他CGI脚本/可执行文件，他们可以使用这些在你的服务器上做各种事情。 假设一个Linux服务器，你应该做的第一件事是确保每个用户的目录只能被它的所有者和web服务器组访问，然后确保web服务器被configuration为通过类似的方式运行所有的PHP脚本和其他CGI suphp / suexec，以便它们以拥有它们的用户身份执行，而不是使用Web服务器的权限执行。 否则，如果用户的文件是世界可读的，那么任何PHP脚本都可以读取它们。 如果PHP脚本作为Web服务器运行，那么PHP脚本可以读取或写入Web服务器可以读取或写入的任何文件，并且可能包含其他人的脚本。

互相保护用户只是第一步。 下一步是保护服务器，并需要更多的工作和持续的警惕。 为此，设置配额（防止用户填写驱动器）和审核用户不应该访问的权限仅仅是一个开始。

简而言之，您的域名可能会被FBI抢走，因为有些老兄在他的网站上放置了非法的东西。

发生了。 几个星期前。 联邦调查局后面的儿童色情和抢夺域名…我认为其中一人是由一个提供者（儿童色情在一个子域），70.000个子域名，这一切都变得“黑暗”（显示一个注意到的评论）。 花了2-3天来解决这个问题。

总是有人冒险利用bug或获得特权访问的风险，特别是使用像FTP这样的明文传输协议。 危害主要在于授予用户的权限以及您如何对每个用户进行沙盒处理。

一张全面的安全检查清单并不一定适用，因为我们不知道你是如何执行这项工作的; 服务器操作系统，内容服务器，如何监pipe他们等等。

安全是一个过程，而不是一个清单。

真的，我可以告诉你的唯一的事情就是假设你所有的用户都是恶意的，尽可能的对他们进行沙盒，检查你的子目录的权限，授予最less的权限，确保你有好的备份和文件检查器，检查是否存在恶意活动以及是否有适当的更新程序来保持最新的修补程序。 除此之外，你的问题没有太多的细节，问题是如此广泛，主题可以填写一本书…

既然这个没有提到…

有人可能会说服CA为父域颁发SSL证书，而不仅仅是他们自己的子域。