php2shell.ccは何を検査しますか？
公開HTTPレスポンスからPHPのバージョンやセッションの手掛かりを調べ、POST・PUT・PATCHごとにURLエンコードとmultipartフォームの応答を比較します。通常の識別用フィールドを送り、ファイル部分やアップロード進捗フィールドは送信しません。悪用やリモートコード実行の検証も行いません。
どのURLを検査できますか？
所有する、または検査の許可を得た公開HTTP/HTTPS URLのみを入力してください。APIは宛先とポートを制限し、ローカルホスト、プライベートネットワークなどの許可されない対象を拒否します。転送先も再検査します。URLに認証情報、秘密のトークン、機密のクエリパラメーターを含めないでください。
なぜ順番に送信され、ときどき7行を超えるのですか？
基本の7項目はGETと、POST・PUT・PATCHそれぞれの2種類のフォームです。個別にAPIを呼び出し、応答を待って次へ進みます。GETは最大3回のリダイレクトを追跡し、各転送に行を追加します。フォームは追跡しません。基準検査を続行できない場合や手動で停止した場合、残りは送信しません。
403・405・200の応答で保護や修正を証明できますか？
できません。GETとの比較だけではなく、同じメソッドの2種類のフォームを比べてください。差異はプロキシ、WAF、Webサーバー、アプリから生じる場合があります。403/405は拒否の段階を特定せず、200/3xxもPHPによる本文解析を証明しません。ヘッダー、設定、ログ、パッチ記録を併せて確認してください。
PHPやバージョンが検出されなければ安全ですか？
それだけでは安全と判断できません。PHPの識別情報は非表示の場合があり、応答がCDN、キャッシュ、静的ページ、別のアプリ経路から返ることもあります。遠隔結果は今回のリクエストに限られます。CLIのphp -vや公開ヘッダーだけでなく、サイトが実際に使うPHPサービス、バージョン、パッケージのパッチを確認してください。
パッチの確認と宝塔パネルの更新はどう行いますか？
PHP公式またはパッケージ保守元のセキュリティ情報と修正記録を確認してください。バックポートは上流のバージョン番号だけでは判定できません。宝塔では「ソフトウェアストア → インストール済み」からサイトのPHPを選び、利用可能なセキュリティ更新を適用します。事前にバックアップし、対応サービスを再起動して動作を確認してください。稼働中の各PHPバージョンを個別に確認します。
curlによる検査を自分で実行できますか？
はい。ホームページに、通常の識別用フィールドでGET・URLエンコード・multipartの応答を比較するBash/curlスクリプトを掲載しています。許可されたURLに変更して端末で実行し、結果の説明を確認してください。メソッドによってアプリの動作が発生する可能性があるため、対象が検査に適しているか事前に確認してください。自主検査もサーバーのパッチ確認の代わりにはなりません。
検査の失敗や想定外の結果はどう報告しますか？
[email protected]に、検査項目、HTTPステータス、エラー表示、再現手順をお知らせください。必要に応じて機密情報を伏せた画像を添付できます。まず公開アクセス、リダイレクト、アクセス制限を確認してください。パスワード、秘密のトークン、完全なセッションCookie、機密の認証情報を含むURLは送信しないでください。