Как запретить PHP лезть в каталоги выше уровнем?
Есть довольно простой способ через панель управления сайтов типа VestaCP или ISPManager. Создаётся отдельный пользователь, ему создаётся отдельный ФТП аккаунт, в качестве корневой директории указываем site.com/blog и всё, ему оттуда и его скриптам доступа никуда нет.
Максимально обезопасить возможно только в случае, если движок блога расположен выше www-директории.
А доступ к нужной публичной директории (site.com/blog) - предоставляется из центральной точки, являющейся роутером запросов: php-файл или правила .htaccess.
И тоже самое - для другого движка, стоящего рядом.
1. Для защиты от атак (входящие запросы GET/POST и т.д.): читаем здесь.
2. Для контроля запуска shell-функций : php-security
3. Runkit Sandbox (для подмены стандартных функций на свои): здесь