Что проверяет php2shell.cc?
Инструмент изучает признаки версии и сессии PHP в публичных HTTP-ответах и сравнивает формы URL-encoded и multipart для POST, PUT и PATCH. Отправляется обычное поле-маркер без файлов и полей прогресса загрузки; эксплуатация и удаленное выполнение кода не проверяются.
Какие URL можно проверять?
Указывайте только публичные HTTP/HTTPS-адреса своих сайтов или разрешенных для проверки целей. API ограничивает адреса и порты, отклоняет localhost, частные сети и другие запрещенные цели; переходы проверяются повторно. Не добавляйте учетные данные, секретные токены и чувствительные параметры.
Почему запросы идут по очереди, а строк иногда больше семи?
Семь основных проверок — это GET и по два типа форм для POST, PUT и PATCH. Каждая вызывает API отдельно и ожидает ответ. GET следует максимум трем переходам, добавляя строку на каждый; формы переходам не следуют. Если базовая проверка не может продолжиться или вы ее остановили, остальные запросы не отправляются.
Подтверждают ли ответы 403, 405 или 200 защиту либо исправление?
Нет. Сравнивайте оба типа форм для одного метода, а не только с GET. Различия могут быть вызваны прокси, WAF, веб-сервером или приложением. 403/405 не определяет этап отказа, а 200/3xx не доказывает разбор тела PHP. Сопоставляйте заголовки, настройки, журналы и сведения об исправлениях.
Безопасен ли сайт, если PHP или его версия не обнаружены?
Это не доказывает безопасность. Признаки PHP могут быть скрыты, а ответы поступать от CDN, кеша, статической страницы или другого маршрута. Удаленные результаты относятся только к этим запросам. Проверьте фактическую службу PHP сайта, версию и патчи пакетов, а не только CLI php -v или публичные заголовки.
Как проверить исправления и обновиться через BT Panel?
Сверьте уведомления PHP или поставщика пакета и записи об исправлениях; бэкпорты нельзя оценивать только по исходному номеру версии. В BT Panel откройте Магазин программ → Установленные, найдите PHP сайта и установите доступные обновления безопасности. Сначала создайте резервную копию, затем перезапустите службу PHP и проверьте приложение. Проверьте каждую активную версию PHP отдельно.
Можно ли выполнить проверки curl самостоятельно?
Да. На главной есть копируемый Bash/curl-скрипт для сравнения GET, URL-encoded и multipart с обычным полем-маркером. Укажите разрешенную цель, выполните скрипт в терминале и изучите пояснения. Методы могут вызывать действия приложения, поэтому сначала убедитесь в пригодности цели. Самостоятельный тест не заменяет проверку патчей сервера.
Как сообщить о сбое проверки или неожиданном результате?
Напишите на [email protected], указав проверку, HTTP-статус, текст ошибки и шаги воспроизведения; при необходимости приложите обезличенный снимок экрана. Сначала проверьте публичную доступность, переходы и ограничения доступа. Не отправляйте пароли, секретные токены, полные сессионные cookie или URL с учетными данными.