Tanım
Web shell, sunucuda çalışan ve tarayıcıdan komut almaya yarayan bir script. Neredeyse tamamı PHP; çünkü paylaşımlı hosting'in yüzde doksanı PHP çalıştırıyor. Bir dosya adı ve bir parametre yeterli: shell.php?cmd=id.
Panel denilen türleri dosya yöneticisi, metin düzenleyici, veritabanı tarayıcı ve zip açma gibi ekranlar taşır. Aslında hepsi aynı şeyin üstüne yazılmış arayüz.
Nereden geliyor: upload açıkları
Shell'i sunucuya atmanın yolu çoğu zaman bir yükleme formu. WordPress eklentilerinde, eski CKFinder kurulumlarında, açık bırakılmış dosya yöneticilerinde aynı hata tekrar ediyor: uzantı kontrolü yok veya sadece istemci tarafında var.
İkinci yol tema ve eklenti editörleri. Yönetici paneline girebilen biri, functions.php'ye tek satır ekleyerek kalıcı bir shell bırakabiliyor. Bu yüzden "sadece dosya attım" demek yetmiyor; kalıcılık ayrı bir iş.
Mini shell, panel shell, rootkit
Mini shell en fazla 40 satır. Sadece komut çalıştırır, çıktıyı basar. Panel shell bunun üstüne arayüz koyar. Rootkit ise PHP dosyası değil, sunucu seviyesinde çalışan ve çoğu zaman fark edilmeyen bir katman.
Satın alırken karıştırılan şey bu. 20 dolarlık ürüne "rootkit" yazan satıcı çok. Gerçek rootkit genelde ayrı fiyatlanır ve PHP shell'den bağımsızdır.
Sunucuya etkisi
Küçük bir shell'in CPU etkisi yok denecek kadar az. Sorun şurada: aynı sunucuda beş kişi shell çalıştırırsa log dosyaları şişer, yükleme klasörleri izin değiştirir, yedekler büyür. Paylaşımlı hosting'te bu fark ediliyor.
Yanlış kullanımın en sık sonucu 500 hatası. Yanlış dosya izni (777) ya da yanlış PHP sürümüne atılan obfuscated kod paneli kilitliyor. Düzeltmek için hosting desteğine yazmak zorunda kalıyorsun.
Shell'i silmek her zaman yeterli değil. functions.php'ye eklenen tek satır, dosyayı silsen bile orada kalır. Temizlikte hem dosyaları hem tema fonksiyonlarını kontrol et.
Tespit ve kaldırma
Sunucu sahibi tarafında tespit genelde dosya adıyla başlıyor: shell.php, upload.php, wp-cron2.php. Sonra izinler ve değiştirilme tarihi kontrol ediliyor. Son gün değişmiş bir PHP dosyası hemen göze çarpıyor.
Kaldırma için önce dosya hash'ini al, sonra içeriğine bak. index.php'ye yönlendirme var mı, başka include var mı? Sadece silmek yetmiyorsa .htaccess ve functions.php kontrol edilmeli.
Sık sorulanlar
Webshell virüs mü?
Değil. Kendi başına yayılmaz, çoğalmaz. Sunucuya bırakılmış bir erişim aracı.
Hosting fark eder mi?
Çoğu zaman etmez. Log ve dosya izni takibi yapan kurumsal hosting'ler dışında kimse günlük tarama yapmıyor.
WSO nedir?
Eski ve hâlâ dolaşımda olan bir panel shell türü. Yavaş ama özellikli; bu yüzden VirusTotal'de çok yakalanıyor.
Shell'i silmek yeterli mi?
Hayır. functions.php, .htaccess ve yükleme klasörlerini de kontrol et.
Hakkımızda
ShellPazar, 2024 sonbaharından beri webshell alım satımının mutfağını yazıyor. Kurucu ekip üç kişi: biri eski hosting desteği, biri sızma testi raporu yazan bir freelancer, biri de yıllardır Telegram gruplarında alım satım yapan bir koleksiyoncu.
Fiyat bantlarını tahminle değil, kapanan işlemlerden çıkarıyoruz. Bir ilanı yayına almadan önce en az iki kişiden doğrulama istiyoruz. Reklam alıyoruz, ama yazının içine sponsor satıcı koymuyoruz.
★★★★☆
İletişim
Shell ilanı, fiyat düzeltmesi veya hatalı bilgi bildirimi için yaz. Satıcı değiliz; ilanlarını vitrine taşımıyoruz, sadece doğrulanmış bantları yayınlıyoruz. Doğrudan e-posta: satici@shellpazar.com