ما الذي يفحصه php2shell.cc؟
تفحص الأداة مؤشرات إصدار PHP والجلسات في استجابات HTTP العامة وتقارن نماذج ترميز URL وmultipart لكل من POST وPUT وPATCH. ترسل حقل علامة عاديًا دون أجزاء ملفات أو حقول تقدم الرفع، ولا تحاول استغلال الثغرة أو تنفيذ تعليمات برمجية عن بُعد.
ما الروابط التي يمكنني فحصها؟
أرسل روابط HTTP/HTTPS عامة تملكها أو لديك إذن بفحصها فقط. تقيّد الواجهة الوجهات والمنافذ وترفض الجهاز المحلي والشبكات الخاصة والأهداف غير المسموح بها، وتعيد فحص وجهات إعادة التوجيه. تجنّب بيانات الدخول والرموز السرية ومعلمات الاستعلام الحساسة.
لماذا تُرسل الطلبات بالتتابع وتظهر أحيانًا أكثر من سبعة صفوف؟
الفحوص السبعة الأساسية هي GET ونوعا نموذج لكل من POST وPUT وPATCH. يستخدم كل فحص استدعاء واجهة مستقلًا وينتظر الاستجابة. يتبع GET ثلاث إعادات توجيه كحد أقصى مع صف لكل انتقال، ولا تتبعها النماذج. لا تُرسل الفحوص المتبقية إذا تعذر استمرار الفحص المرجعي أو أوقفت العملية.
هل تثبت استجابات 403 أو 405 أو 200 وجود حماية أو إصلاح؟
لا. قارن نوعي النماذج باستخدام الطريقة نفسها بدل الاكتفاء بالمقارنة مع GET. قد تنتج الفروق عن وكيل أو WAF أو خادم ويب أو التطبيق. لا يحدد 403/405 مرحلة الرفض، ولا يثبت 200/3xx أن PHP حلل المحتوى. راجع الترويسات والإعدادات والسجلات والتحديثات معًا.
هل الموقع آمن إذا لم يُكتشف PHP أو إصداره؟
هذا لا يثبت الأمان. قد تكون مؤشرات PHP مخفية أو تأتي الاستجابة من CDN أو ذاكرة مؤقتة أو صفحة ثابتة أو مسار آخر. تغطي النتائج البعيدة هذه الطلبات فقط. تحقق من خدمة PHP وإصدارها وتحديثات الحزم المستخدمة فعليًا للموقع، لا من php -v أو الترويسات العامة وحدها.
كيف أتحقق من التحديثات وأرقّي عبر BT Panel؟
راجع تنبيهات PHP أو مشرف الحزمة وسجلات الإصلاح؛ لا يمكن الحكم على التصحيحات المنقولة من رقم الإصدار الأصلي وحده. في BT Panel افتح متجر البرامج ← المثبّت، وحدد PHP المستخدم للموقع وثبّت التحديثات الأمنية المتاحة. خذ نسخة احتياطية أولًا، ثم أعد تشغيل خدمة PHP وتحقق من عمل الموقع. افحص كل إصدار PHP نشط على حدة.
هل يمكنني تشغيل فحوص curl بنفسي؟
نعم. توفر الصفحة الرئيسية نص Bash/curl قابلًا للنسخ يقارن GET ونماذج ترميز URL وmultipart بحقل علامة عادي. حدد هدفًا مصرحًا به وشغّله في الطرفية واقرأ تفسير النتائج. قد تشغّل طرق الطلب سلوكًا في التطبيق، لذا تأكد أولًا من ملاءمة الهدف. لا يغني الفحص الذاتي عن التحقق من تحديثات الخادم.
كيف أبلّغ عن فشل الفحص أو نتيجة غير متوقعة؟
راسل [email protected] مع اسم الفحص ورمز HTTP ورسالة الخطأ وخطوات إعادة المشكلة، وأرفق صورة منقّحة عند الحاجة. تحقق أولًا من الإتاحة العامة وإعادة التوجيه وقيود الوصول. لا ترسل كلمات مرور أو رموزًا سرية أو ملفات ارتباط جلسة كاملة أو روابط تتضمن بيانات دخول حساسة.