O que o php2shell.cc verifica?
O verificador analisa indícios de versão e sessão PHP nas respostas HTTP públicas e compara formulários codificados em URL e multipart para POST, PUT e PATCH. Envia um campo marcador, sem arquivos nem campos de progresso de upload, e não tenta explorar a falha nem executar código remoto.
Quais URLs posso verificar?
Envie apenas URLs HTTP/HTTPS públicas que sejam suas ou que você tenha autorização para verificar. A API restringe destinos e portas, rejeita localhost, redes privadas e outros destinos proibidos e verifica novamente os redirecionamentos. Evite credenciais, tokens privados ou parâmetros sensíveis.
Por que as solicitações são sequenciais e às vezes há mais de sete linhas?
As sete verificações básicas são GET e dois tipos de formulário para POST, PUT e PATCH. Cada uma usa uma chamada independente e aguarda a resposta. GET segue até três redirecionamentos, com uma linha por salto; formulários não os seguem. Se a referência não puder continuar ou você interromper o teste, os itens restantes não serão enviados.
Respostas 403, 405 ou 200 comprovam proteção ou correção?
Não. Compare os dois formulários com o mesmo método, não apenas com GET. Diferenças podem vir do proxy, WAF, servidor web ou aplicação. Um 403/405 não identifica a etapa de rejeição, e 200/3xx não prova que o PHP analisou o corpo. Confira cabeçalhos, configurações, logs e patches em conjunto.
O site está seguro se o PHP ou sua versão não forem detectados?
Isso não comprova segurança. Os identificadores PHP podem estar ocultos, ou a resposta pode vir de CDN, cache, página estática ou outra rota. O resultado remoto cobre apenas essas solicitações. Verifique o serviço PHP, a versão e os patches usados pelo site, não apenas php -v ou os cabeçalhos públicos.
Como verificar os patches e atualizar pelo BT Panel?
Confira os avisos do PHP ou do mantenedor e os registros de patches; correções retroportadas não podem ser avaliadas só pela versão original. No BT Panel, abra Loja de software → Instalados, encontre o PHP do site e instale as atualizações de segurança disponíveis. Faça backup, reinicie o serviço PHP e valide a aplicação. Confira cada versão ativa separadamente.
Posso executar as verificações curl por conta própria?
Sim. A página inicial inclui um script Bash/curl que compara GET e formulários codificados em URL e multipart com um campo marcador. Defina um alvo autorizado, execute no terminal e consulte a interpretação. Os métodos podem acionar comportamentos da aplicação; confirme antes que o alvo seja adequado. O teste não substitui a conferência dos patches do servidor.
Como relatar uma verificação com falha ou resultado inesperado?
Envie um e-mail para [email protected] com o nome da verificação, status HTTP, erro e passos de reprodução, incluindo captura sem dados sensíveis se necessário. Confira antes o acesso público, redirecionamentos e restrições. Não envie senhas, tokens privados, cookies de sessão completos ou URLs com credenciais sensíveis.