El mercado de shells nunca fue un marketplace
Las tiendas existen, pero están flojas. Casi todos los anuncios son una captura, un precio y ninguna URL que funcione hasta pagar. Los bots de escrow de Telegram se comieron ese hueco porque resuelven lo único que importa: que no te estafen con un archivo de 120 dólares.
Los precios de 2022 no se parecen a los de ahora. Un shell en un dominio .edu se pagaba a 400 dólares. Con tanta reventa la mediana bajó a 60-150. La gama alta sigue viva, pero la compra quien necesita un servidor concreto, no un aficionado.
Qué mueve el precio de verdad
No es el código. En la mayoría de casos son treinta líneas. Se paga por el servidor que hay detrás y por el trabajo de esconderlo.
| Tipo | Rango (USD) | Qué recibes |
|---|---|---|
| Mini shell | 25-60 | Solo ejecución de comandos |
| Panel shell | 80-250 | Gestor de archivos, navegador de BD, base64 |
| Panel propio + bypass WAF | 300-900 | Aguanta un firewall real, ofuscado |
| Root / escalada de privilegios | 400-1500 | Acceso a nivel de servidor, persistencia |
Cómo comprar sin perder dinero
Pide una URL en vivo con el dominio parcialmente tapado. Diez minutos de pruebas dicen más que cualquier captura: sube un archivo, ejecuta un comando, abre la pestaña de base de datos. Si el vendedor no deja probar antes de pagar, camina.
- Paga con escrow, nunca a una cartera recién creada.
- Comprueba la versión de PHP con phpinfo, no con el texto del anuncio.
- Busca el hash: si aparece en diez sitios, es reventa.
- Guarda la captura, la URL y el identificador del pago juntos.
- No pagues el precio completo por un "soporte de por vida".
- Prueba desde una IP limpia, no desde tu perfil habitual.
El lado del vendedor es más duro
Vender un shell es demostrar que existe sin regalarlo. Se manda una captura de phpinfo con el dominio tapado y una salida de id en vivo. Es fácil de falsificar, y por eso el escrow retiene el dinero de los dos lados.
La reventa es donde la gente se quema. Si vendes el mismo archivo dos veces, el comprador lo descubre cuando aparece la subida de otra persona en el listado del directorio. O lo avisas o lo cobras como shell compartido.
El marco legal, en una frase
Ninguna ley dice "webshell". Si el servidor no es tuyo, técnicamente eres un visitante sin autorización. Nadie demanda por un primer shell, pero si lo facturas a un cliente, deja el alcance por escrito.
Un shell no es una licencia. En un hosting compartido desaparece de la noche a la mañana durante una migración y no tienes nada que reclamar.
Preguntas frecuentes
¿Es legal comprar una webshell?
Está en zona gris. Tener el archivo es legal; usarlo en un servidor que no controlas es acceso no autorizado en sentido estricto. A esta escala casi nadie lo persigue.
¿Puedo revender un shell comprado?
Sí, salvo que hayas pagado exclusividad. Pregúntalo antes: casi todos los anuncios son compartidos por defecto.
¿Cuánto dura un shell?
Entre tres y ocho semanas de media, hasta que el dueño parchea o una actualización de tema lo borra.
¿Qué pago es más seguro?
Escrow con ventana de liberación. Cripto directo solo con vendedores que ya usaste.
Sobre nosotros
ShellPazar escribe sobre la trastienda del mercado de webshells desde finales de 2024. Lo llevan tres personas: una ex técnico de soporte de hosting, un pentester freelance y un coleccionista que lleva años operando en grupos de Telegram.
Las bandas de precio salen de operaciones cerradas, no de suposiciones. Antes de publicar un anuncio pedimos que dos personas lo verifiquen. Aceptamos publicidad, pero no colamos vendedores patrocinados en el texto.
★★★★☆
Contacto
Escribe para un anuncio, una corrección de precio o un error factual. No somos vendedores ni alojamos anuncios; solo publicamos bandas verificadas. Correo directo: satici@shellpazar.com