¿Qué comprueba php2shell.cc?
El comprobador revisa indicios de versión y sesión PHP en respuestas HTTP públicas y compara formularios codificados en URL y multipart para POST, PUT y PATCH. Envía un campo marcador, sin archivos ni campos de progreso de carga, y no intenta explotar la vulnerabilidad ni ejecutar código remoto.
¿Qué URL puedo comprobar?
Envía solo URL HTTP/HTTPS públicas que te pertenezcan o tengas autorización para comprobar. La API limita destinos y puertos y rechaza el equipo local, las redes privadas y otros destinos no permitidos; también revisa las redirecciones. Evita credenciales, tokens privados y parámetros sensibles.
¿Por qué las solicitudes son secuenciales y a veces hay más de siete filas?
Las siete pruebas básicas son GET y dos tipos de formulario para POST, PUT y PATCH. Cada una usa una llamada API independiente y espera la respuesta. GET sigue como máximo tres redirecciones, con una fila por salto; los formularios no las siguen. Si la referencia no puede continuar o detienes la prueba, no se envían los elementos restantes.
¿Las respuestas 403, 405 o 200 demuestran protección o corrección?
No. Compara ambos formularios con el mismo método, no solo con GET. Las diferencias pueden proceder del proxy, WAF, servidor web o aplicación. Un 403/405 no identifica dónde se rechazó la petición y un 200/3xx no prueba que PHP analizara el cuerpo. Revisa cabeceras, configuración, registros y parches en conjunto.
¿Es seguro el sitio si no se detecta PHP o su versión?
Eso no demuestra seguridad. Los identificadores PHP pueden estar ocultos o la respuesta proceder de una CDN, caché, página estática u otra ruta. Los resultados remotos solo cubren estas solicitudes. Verifica el servicio PHP, la versión y los parches que usa el sitio, no solo php -v ni las cabeceras públicas.
¿Cómo verifico los parches y actualizo mediante BT Panel?
Consulta los avisos de PHP o del mantenedor y los registros de parches; una corrección retroportada no se evalúa solo por la versión original. En BT Panel, abre Tienda de software → Instalado, localiza el PHP del sitio e instala las actualizaciones de seguridad disponibles. Haz una copia, reinicia ese servicio PHP y valida la aplicación. Revisa cada versión activa por separado.
¿Puedo ejecutar las pruebas curl por mi cuenta?
Sí. La página principal ofrece un script Bash/curl que compara GET y formularios codificados en URL y multipart mediante un campo marcador. Configura un destino autorizado, ejecútalo en una terminal y consulta la interpretación. Los métodos pueden activar acciones de la aplicación; confirma antes que el destino sea adecuado. La prueba no sustituye la verificación de parches del servidor.
¿Cómo informo de una prueba fallida o un resultado inesperado?
Escribe a [email protected] con la prueba, el estado HTTP, el error y los pasos para reproducirlo; añade una captura anonimizada si ayuda. Revisa primero el acceso público, las redirecciones y las restricciones. No envíes contraseñas, tokens privados, cookies de sesión completas ni URL con credenciales sensibles.