Evitar unlink fuera de directorio php

[des_trozado]

Buenas, hoy he tenido que montar por primera vez un servidor apache en windows server y antes de dar acceso a este a traves de ftp he querido probar un poquito la seguridad, simplemente he hecho un unlink desde un archivo php subido por el ftp y el unlink era "../../test.txt" obviamente al hacer ../../ nos saliamos de la carpeta www y me ha sorprendido ver como borra el archivo :S

Como hago para evitar esto? He intentado ver los permisos como suelo hacer en linux pero sale todo con xxx y si los pongo manualmente da igual, vuelve a poner xxx

Con el safe_mode en On tambien permite borrar archivos fuera del directorio web de apache

Alguien sabe como evitar esto?

Gracias por leerlo espero la respuesta de alguien :)