Такая ситуация - IIS в моде полной изоляции.
В свою dll (GetVersionInInfo) вставляем вызов winexec ("c:\tmp\notepad", 1); - не работает. Ок.
Описываем указатель на функцию winexec. Присваиваем ему адрес (смотрим из kernel32.dll) - запускает notepad, при вызове dll...
Вообще-то это говорит от том что либо у мс вообще крыша сьехала и они начали ACL проверять в моде пользователя а не ядром, либо кто-то кого-то обманывает. Т.е. ядро винь не поддерживает заявленный уровень безопасности и его начинают эмулировать в моде пользователя делая hook на все вызовы, безопасность которых не поддерживается ядром. Кстати в моде low при вызове dll пользователя запускается inetinfo, в high - dllhost. Значит dllhost этим и занимается....
Стало быть "безопасный" хостинг под НТ - просто очередной бред.
PS. Напишите кто-нибуть в багтрак, интересно что они по этому поводу думают???