Que vérifie php2shell.cc ?
Le vérificateur examine les indices de version et de session PHP dans les réponses HTTP publiques et compare les formulaires encodés en URL et multipart pour POST, PUT et PATCH. Il envoie un simple champ marqueur, sans fichier ni champ de suivi de téléversement, et ne tente ni exploitation ni exécution de code à distance.
Quelles URL puis-je vérifier ?
Indiquez uniquement des URL HTTP/HTTPS publiques vous appartenant ou que vous êtes autorisé à vérifier. L’API limite les destinations et les ports, refuse localhost, les réseaux privés et les autres cibles interdites, et vérifie à nouveau les redirections. Évitez les identifiants, jetons privés et paramètres sensibles.
Pourquoi les requêtes sont-elles successives et dépassent-elles parfois sept lignes ?
Les sept tests de base sont GET et deux types de formulaire pour POST, PUT et PATCH. Chaque test utilise un appel API distinct et attend sa réponse. GET suit au plus trois redirections, avec une ligne par saut ; les formulaires ne les suivent pas. Si la référence ne peut continuer ou si vous arrêtez le test, les requêtes restantes ne sont pas envoyées.
Les réponses 403, 405 ou 200 prouvent-elles une protection ou une correction ?
Non. Comparez les deux formulaires pour une même méthode plutôt que seulement avec GET. Les écarts peuvent provenir du proxy, du WAF, du serveur Web ou de l’application. Un 403/405 ne situe pas le rejet et un 200/3xx ne prouve pas le traitement du corps par PHP. Recoupez en-têtes, configuration, journaux et correctifs.
Le site est-il sûr si PHP ou sa version ne sont pas détectés ?
Cela ne prouve pas la sécurité. Les identifiants PHP peuvent être masqués et la réponse provenir du CDN, du cache, d’une page statique ou d’une autre route. Les résultats distants couvrent seulement ces requêtes. Vérifiez le service PHP, sa version et les correctifs réellement utilisés par le site, pas seulement php -v ou les en-têtes publics.
Comment vérifier les correctifs et mettre à jour via BT Panel ?
Consultez les avis et correctifs de PHP ou du mainteneur ; les rétroportages ne se jugent pas sur le seul numéro de version amont. Dans BT Panel, ouvrez Magasin de logiciels → Installés, repérez le PHP du site et installez les mises à jour de sécurité disponibles. Sauvegardez avant, redémarrez ce service PHP et vérifiez le fonctionnement. Contrôlez chaque version PHP active séparément.
Puis-je exécuter les tests curl moi-même ?
Oui. La page principale propose un script Bash/curl à copier qui compare GET et les formulaires encodés en URL et multipart avec un simple champ marqueur. Choisissez une cible autorisée, exécutez-le dans un terminal et lisez le guide. Les méthodes peuvent déclencher des actions applicatives ; vérifiez que la cible convient. Ce test ne remplace pas la vérification des correctifs du serveur.
Comment signaler un échec de test ou un résultat inattendu ?
Écrivez à [email protected] avec le test concerné, le statut HTTP, le message et les étapes de reproduction, en ajoutant si utile une capture expurgée. Vérifiez auparavant l’accès public, les redirections et les restrictions. N’envoyez ni mots de passe, ni jetons privés, ni cookies de session complets, ni URL contenant des identifiants sensibles.