>Вряд ли украденный пароль фтп-аккаунта дает полномочия, с которыми  можно установить,
>сконфигурироваль и запустить левый сервис, фаирвол переконфигурировать и т.д. Это намного
>страшнее, чем "залить свои скрипты" на какой-нибудь занюханный виртуал-хост.

"Установить, сконфигурировать и запустить сервис" - попахивает windows-терминологией)
Если я запущу скрипт на bash , который откроет 8080 порт и будет слушать на нем соединения - это можно назвать "установить, сконфигурировать и запустить сервис"? )
bash файл - это аналог bat файла в винде.
В винде тоже можно запустить простенькую программу на 40кб, которая будет слушать порт.

Запустить nginx на порту 8080 проще простого.
php скрипт копирует нужные файлы на сервер (в папку сайта) и делает fork/exec файла nginx.
Правда, это и запрещается относительно просто - монтировать раздел с noexec.

Так вот.
Украденный пароль от ftp очень может дать полномочия.
Есть php скрипты, которые работают, как norton commander.
Т.е. показывают каталоги и файлы, открывают файлы в редакторе.
И даже запускают указанные файлы.
Следовательно, заливаешь такой php скрипт и дело в шляпе.