Le marché du shell n'est jamais devenu un marketplace
Les boutiques existent, mais elles sont vides. Presque toutes les annonces sont une capture, un prix et aucune URL valide avant paiement. Les bots escrow de Telegram ont pris le relais parce qu'ils règlent le seul problème qui compte : ne pas perdre 120 dollars sur un fichier.
Les prix de 2022 et ceux d'aujourd'hui ne racontent pas la même histoire. Un shell sur un domaine .edu partait à 400 dollars. Avec la revente, la médiane est tombée à 60-150. Le haut de gamme existe encore, mais il est acheté par des gens qui ont besoin d'un serveur précis, pas par des amateurs.
Ce qui fait vraiment monter le prix
Pas le code. Le code fait trente lignes dans la plupart des cas. On paie le serveur derrière et le travail pour le cacher.
| Type | Fourchette (USD) | Ce que tu obtiens |
|---|---|---|
| Mini shell | 25-60 | Exécution de commandes seulement |
| Shell à panneau | 80-250 | Gestionnaire de fichiers, navigateur SQL, base64 |
| Panneau maison + bypass WAF | 300-900 | Tient face à un vrai pare-feu, obfusqué |
| Root / élévation de privilèges | 400-1500 | Accès au serveur, persistance |
Comment acheter sans perdre d'argent
Demande une URL en direct avec le domaine partiellement masqué. Dix minutes de test valent mieux qu'une capture : upload, commande, onglet base de données. Si le vendeur refuse un test avant paiement, passe.
- Paie via escrow, jamais vers un portefeuille récent.
- Vérifie la version PHP avec phpinfo, pas avec le texte de l'annonce.
- Cherche le hash : s'il apparaît à dix endroits, c'est de la revente.
- Garde la capture, l'URL et l'identifiant de paiement ensemble.
- Ne paie pas le prix plein pour un "support à vie".
- Teste depuis une IP propre, pas depuis ton profil habituel.
Le côté vendeur est plus dur
Vendre un shell, c'est prouver qu'il existe sans le donner. Les vendeurs envoient une capture phpinfo avec le domaine masqué et une sortie id en direct. C'est facile à falsifier, d'où l'escrow qui bloque l'argent des deux côtés.
La revente est l'endroit où les débutants se brûlent. Vends le même fichier deux fois et l'acheteur le découvre dès qu'un upload étranger apparaît dans le listing. Soit tu le dis, soit tu factures un shell partagé moins cher.
Le cadre légal en un paragraphe
Aucune loi ne dit "webshell". Si le serveur n'est pas à toi, tu es techniquement un visiteur non autorisé. Personne n'attaque pour un premier shell. Dès que tu factures un client, écris l'étendue de l'accès.
Un shell n'est pas une licence. Sur un hébergement mutualisé, il disparaît du jour au lendemain lors d'une migration, sans recours.
Questions fréquentes
Acheter un webshell est-il légal ?
Zone grise. Posséder le fichier est légal ; l'utiliser sur un serveur que tu ne contrôles pas relève de l'accès non autorisé. Rarement poursuivi à cette échelle.
Puis-je revendre un shell acheté ?
Oui, sauf si tu as payé l'exclusivité. Demande avant : presque toutes les annonces sont partagées par défaut.
Combien de temps dure un shell ?
Trois à huit semaines en moyenne, jusqu'au patch du propriétaire ou à une mise à jour de thème.
Quel paiement est le plus sûr ?
Escrow avec fenêtre de validation. La crypto directe seulement avec des vendeurs déjà testés.
À propos
ShellPazar écrit sur les coulisses du marché du webshell depuis fin 2024. Trois personnes s'en occupent : une ancienne du support d'hébergement, un pentester freelance et un collectionneur qui traîne dans les groupes Telegram depuis des années.
Les fourchettes viennent de transactions conclues, pas d'estimations. Avant publication, deux personnes vérifient l'annonce. On prend de la pub, mais on ne glisse pas de vendeurs sponsorisés dans le texte.
★★★★☆
Contact
Écris pour une annonce, une correction de prix ou une erreur factuelle. Nous ne sommes pas vendeurs et n'hébergeons pas d'annonces ; nous publions seulement des fourchettes vérifiées. E-mail direct : satici@shellpazar.com