Смотря какой вебсервер. Если Apache, то обычно его пускают от системного юзверя - можно телнет открыть или даже RemoteDesctop. Если IIS, то права обычно обрезаны по максимуму, а новых сплойтов почти и нет в паблике.