内容摘要：一个 webshell 的售价可以低到 50 块，也可以高到几万。差距不在代码本身，而在它能不能过杀软、能不能绕过 WAF、有没有人持续更新。 我在几个 Telegram 群里蹲了半个月。卖 webs

一个 webshell 的出售售价可以低到 50 块，也可以高到几万。出售差距不在代码本身，出售而在它能不能过杀软、出售能不能绕过 WAF、出售有没有人持续更新。出售

我在几个 Telegram 群里蹲了半个月。出售卖 webshell 的出售人不少，但真正成规模的出售只有那么几个。他们不叫自己"卖家"，出售叫"作者"或者"维护者"。出售一个 ID 叫"老K"的出售人，手里握着三款 PHP 免杀 shell，出售最便宜的出售一款 200 块，最贵的出售 8000。8000 那款带自研加密通道，流量特征伪装成正常 AJAX 请求，他说"目前为止零查杀"。

买的人是谁？我翻了翻群成员列表。有人备注写"渗透测试"，有人写"红队"，还有一大半什么也没写。老K跟我说，真正搞安全研究的反而买得少，因为大厂都有自己的工具链。买得最多的是"接单的"——那些在众包平台上接渗透测试单子的人。一个单子可能就赚两三千，花 500 买个稳定 shell，划算。

价格体系很乱。有人把 GitHub 上开源的 shell 改个变量名就拿出来卖 30 块，也有人把商业 shell 破解后倒卖。最离谱的是一个叫"ShellKing"的，号称"AI 驱动免杀"，卖 12000，结果被人扒出来就是 Behinder 加了个混淆脚本。群里吵了三天，最后不了了之。

真正值钱的不是 shell 本身。老K说，他 80% 的时间花在维护上。杀软每周更新特征库，他得跟着改代码。PHP 版本升级、中间件打补丁，都可能让 shell 失效。买 8000 那款的人，其实买的是"一年内免费更新"。这跟买杀毒软件的逻辑一模一样——你买的不是软件，是持续对抗。

交易方式也很有意思。没人走淘宝闲鱼，全是加密货币或者卡密。老K只收 USDT，先款后货。我问他不怕被举报吗，他说"举报什么？我又没入侵谁的系统。我卖的是工具，怎么用是买家的事。"这话在法律上站不住脚，但在那个圈子里是共识。

有个买家跟我说，他买 shell 是为了"学习"。我看了他的聊天记录，他问老K的第一个问题是"怎么上传到目标服务器"。老K没回他。第二天他换了个马甲又来问，老K直接把他拉黑了。老K后来跟我说："这种人就是定时炸弹，卖给他等于给自己找麻烦。"

这个市场没有想象中那么大。真正活跃的卖家可能不到 50 个，买家撑死几千人。但它很稳定，因为需求一直在——只要还有漏洞，就有人需要 webshell。价格也不会崩，因为免杀是持续对抗，没有一劳永逸的方案。

老K最后跟我说了一句话："你以为我在卖代码？我在卖时间。买家花 8000 买的是我接下来一年不睡觉改代码的时间。"这话听着挺黑色幽默的，但确实是这个生意的本质。