Webshell satın almak mantıklı mı, yoksa kendin mi yazmalısın?

Webshell satın almak ne demek?

Bir sunucuda dosya yükleme, komut çalıştırma, veritabanına bakma yetkilerini tek tıkla veren PHP dosyasını hazır almak demek. Senin yerine başkası yükleme açığını bulmuş, WAF denemiş, dosyayı panelde çalışacak hale getirmiş oluyor. Geriye URL'i tarayıcıya yapıştırmak kalıyor.

Piyasada satılanların tamamına yakını PHP. Aspx, jsp, cgi shell de var ama alıcısı az; onları daha çok Windows sunucuya giren ekipler kendi aralarında paylaşıyor. Fiyatı belirleyen şey yazılımın kalitesi değil, sunucunun nerede olduğu. Bir devlet sitesinde çalışan shell ile kişisel blogda çalışan shell aynı parayı etmiyor.

Kimler gerçekten para veriyor?

Üç grup var. Birincisi sızma testi raporu yazan freelancerlar; müşteriye "şu açıktan girdim" demek için ekran görüntüsünde gösterecekleri temiz bir panel arıyorlar. İkincisi elinde onlarca müşteri sitesi olan ajans çalışanları, tek tek uğraşmak istemiyor. Üçüncüsü öğrenmek için alanlar; 40-50 dolarlık bir mini shell'i kendi test sunucusunda kurcalıyor.

Bir de al-sat yapanlar var. 60 dolara aldıkları dosyayı "özel panel, bypass dahil" diye 200 dolara ilan ediyorlar. Aradaki farkı kimse denetlemediği için aynı shell'i üç ayrı kişiye satmak serbest. Bunu bilerek alışveriş yapmak, sonra hayal kırıklığı yaşamamak için önemli.

Fiyat bandı nerede başlar, nerede durur?

Tablodaki rakamlar 2026 sonbaharında Telegram gruplarında görülen ortalamalar. Alan adı uzantısı, sunucu lokasyonu ve panelin algılanma oranı fiyatı yukarı çekiyor.

Satın almadan önce sorulacak altı soru

Bu altı sorudan üçüne net cevap alamıyorsan fiyat ne olursa olsun dur. Satıcı "hepsi var" diyorsa ekran görüntüsü iste, mümkünse 10 dakika test linki ver.

• Shell hangi PHP sürümünde çalışıyor? 8.1 altı çoğu panelde patlar.
• Dosya yükleme, komut ve DB erişimi ayrı ayrı test edildi mi?
• Gizleme yöntemi ne: base64, gzinflate, eval zinciri?
• Aynı shell kaç kişiye satıldı?
• Teslim sonrası 24 saat destek var mı?
• Ödeme escrow üzerinden mi, elden mi?

İşin kötü tarafı: 10 dolarlık shell 10 kişide

Ucuz shell'lerin çoğu reseller. Aynı dosyayı alan on kişi aynı sunucuda karşılaşınca loglarda tuhaf hareketler başlıyor, birinin yüklediği backdoor diğerini kilitliyor. Geçen yıl bir müşteri sitesinde tam olarak bunu yaşadım: shell'in asıl sahibi dosyayı güncellemek için içeri girip benim bıraktığım klasörü silmişti.

Bir diğer mesele yasal taraf. Dosyanın bulunduğu sunucuya giriş iznin yoksa teknik olarak izinsiz erişim sayılıyor. Kendi sunucunsa sorun yok. Başkasının sunucusundaki shell'i ticari işte kullanacaksan, "test amaçlı erişim" notunu sözleşmeye yazdırmak en temizi.

Peki kendin yazmak daha mı iyi?

İlk shell'ini yazmak iki akşam sürer. 30 satırlık dosya yükleme formu ve shell_exec çağrısı yeterli. Ama WAF atlatmak, çıktıyı temizlemek, dizin izinleriyle boğuşmak işin yüzde sekseni. Zaman baskısı varsa satın almak mantıklı; öğrenmek istiyorsan yaz.

İkisini birleştirenler en iyi durumda: hazır shell'le girip sonra kendi mini panelini atıyorlar. Böylece hem hızlı hem kalıcı oluyorsun. Bir sonraki sayfada satıcı tarafını, yani elindeki shell'i nasıl paraya çevireceğini anlattım.

Webshell nasıl satılır? →