Der Shell-Handel wurde nie ein Marktplatz
Shops existieren, sind aber dünn. Fast alle Angebote sind ein Screenshot, ein Preis und keine funktionierende URL bis zur Zahlung. Escrow-Bots bei Telegram haben das übernommen, weil sie das einzige echte Problem lösen: nicht um 120 Dollar betrogen zu werden.
Preise von 2022 und heute sind zwei Geschichten. Eine funktionierende Shell auf einer .edu-Domain brachte 400 Dollar. Durch Wiederverkäufer fiel der Median auf 60-150. Das obere Ende gibt es noch, aber dort kaufen Leute mit einem konkreten Server, keine Hobbyisten.
Was den Preis wirklich treibt
Nicht der Code. Der Code sind meistens dreißig Zeilen. Bezahlt wird der Server dahinter und die Arbeit, ihn zu verstecken.
| Typ | Spanne (USD) | Was du bekommst |
|---|---|---|
| Mini-Shell | 25-60 | Nur Kommandoausführung |
| Panel-Shell | 80-250 | Dateimanager, DB-Browser, meist base64 |
| Eigenes Panel + WAF-Bypass | 300-900 | Hält einer echten Firewall stand |
| Root / Rechteausweitung | 400-1500 | Zugriff auf Serverebene, Persistenz |
So kaufst du ohne Verlust
Verlange eine Live-URL mit teilweise maskierter Domain. Zehn Minuten Test sagen mehr als jeder Screenshot: Upload, Kommando, DB-Tab. Wenn vor der Zahlung kein Test erlaubt ist, geh weiter.
- Zahle über Escrow, nie an eine frische Wallet.
- Prüfe die PHP-Version per phpinfo, nicht per Anzeigentext.
- Suche den Hash: taucht er an zehn Stellen auf, ist es Wiederverkauf.
- Halte Screenshot, URL und Zahlungs-ID zusammen.
- Zahle keinen Vollpreis für "lebenslangen Support".
- Teste von einer sauberen IP, nicht aus dem Hauptprofil.
Die Verkäuferseite ist härter
Verkaufen heißt beweisen, dass die Shell existiert, ohne sie zu verschenken. Verkäufer schicken einen phpinfo-Screenshot mit maskierter Domain plus eine Live-id-Ausgabe. Das ist leicht zu fälschen, deshalb hält Escrow das Geld beider Seiten.
Beim Wiederverkauf verbrennen sich Anfänger. Verkaufst du dieselbe Datei zweimal, merkt der Käufer es, sobald ein fremder Upload im Verzeichnis auftaucht. Entweder offenlegen oder als geteilte Shell günstiger anbieten.
Die Rechtslage in einem Absatz
Kein Gesetz kennt die "Webshell". Ist der Server nicht deiner, bist du formal ein unautorisierter Besucher. Für eine erste Shell klagt niemand. Sobald du sie einem Kunden berechnest, gehört der Zugriffsumfang schriftlich festgehalten.
Eine Shell ist keine Lizenz. Auf Shared Hosting verschwindet sie bei einer Migration über Nacht, und du hast keinen Anspruch.
Häufige Fragen
Ist der Kauf einer Webshell legal?
Grauzone. Die Datei zu besitzen ist legal; die Nutzung auf einem fremden Server ist formal unbefugter Zugriff. Auf dieser Ebene wird selten verfolgt.
Darf ich eine gekaufte Shell weiterverkaufen?
Ja, außer du hast Exklusivität bezahlt. Frag vorher: standardmäßig sind fast alle Angebote geteilt.
Wie lange hält eine Shell?
Im Schnitt drei bis acht Wochen, bis der Besitzer patcht oder ein Theme-Update sie löscht.
Welche Zahlung ist am sichersten?
Escrow mit Freigabefenster. Direkte Krypto nur bei erprobten Verkäufern.
Über uns
ShellPazar schreibt seit Ende 2024 über die Hintergründe des Webshell-Handels. Drei Leute betreiben das: ein ehemaliger Hosting-Supportler, ein freiberuflicher Pentester und ein Sammler, der seit Jahren in Telegram-Gruppen handelt.
Preisspannen stammen aus abgeschlossenen Deals, nicht aus Schätzungen. Vor jeder Veröffentlichung prüfen zwei Leute das Angebot. Wir nehmen Werbung, schmuggeln aber keine gesponserten Verkäufer in den Text.
★★★★☆
Kontakt
Schreib für ein Angebot, eine Preiskorrektur oder einen sachlichen Fehler. Wir sind keine Verkäufer und hosten keine Angebote; wir veröffentlichen nur geprüfte Spannen. Direkte Mail: satici@shellpazar.com