内容摘要：一个webshell的成交价，可能比一杯奶茶还便宜。 上个月，有人在Telegram某个加密群里挂出一批webshell，标价30块钱一个，打包十个送两个。卖家备注写得直白：“都是之前扫的，没空打理，

一个webshell的交易成交价，可能比一杯奶茶还便宜。交易

上个月，交易有人在Telegram某个加密群里挂出一批webshell，交易标价30块钱一个，交易打包十个送两个。交易卖家备注写得直白：“都是交易之前扫的，没空打理，交易能连上就行，交易不售后。交易”底下有人回“5块出不出”，交易卖家没理。交易过了半小时，交易这批货显示已售出。交易

这不是交易什么暗网深处的隐秘交易，就在普通的即时通讯软件里，用着普通的支付方式。我翻了翻这个群近一周的记录，卖webshell的、收webshell的、换webshell的，消息刷得比一些技术交流群还勤快。有人拿它当跳板，有人拿它当矿机入口，还有人纯粹是倒手赚差价——低价收一批，转手挂到另一个群，加价50%。

谁在卖，谁在买

卖webshell的人，路子五花八门。最常见的是批量扫描的。写个脚本，全网扫常见漏洞，扫到一个就自动上传shell，记录下来。一天下来，运气好能搞几十个。这些人一般不懂渗透，也不打算深挖，纯粹走量。一个webshell卖20到50块，一天卖出去十个，就是几百块。对他们来说，这就是个流水线生意。

另一类卖家是“手工党”。自己手动挖漏洞，拿到webshell后还会看看目标是什么站。如果是企业站、政府站，价格就高一些，能卖到几百甚至上千。他们会挑目标，也会挑买家。群里有个卖家明确写：“教育站不卖，黑产别来。”当然，这种声明有多大约束力，没人知道。

买家这边，动机更杂。有人买webshell是为了做SEO，往别人网站里塞黑链。有人是为了爬数据，拿webshell当代理用。还有人买来纯粹是为了“练手”——自己挖不到，就买一个现成的，进去看看真实环境长什么样。一个买家在群里说：“买了个shell，进去发现是某地级市的人才网，数据库里几万条简历，吓得我赶紧退了。”

交易背后的技术降级

webshell交易的门槛，比很多人想象的低。早些年，拿webshell还得会点手工注入、文件上传绕过。现在呢？各种自动化工具满天飞，一键扫描、一键利用、一键上传。有人把整套流程打包成视频教程，配上工具，卖199。买教程的人，可能连HTTP协议都说不清楚，但照样能拿到webshell。

技术门槛降了，价格自然就崩了。五年前一个普通webshell还能卖几百块，现在白菜价。群里有人吐槽：“以前一个shell能换顿火锅，现在只能换包烟。”话糙，但真实。

更麻烦的是，这些webshell的“存活周期”越来越短。网站管理员不是傻子，定期扫描、清理后门、打补丁，一套流程下来，大部分低质量webshell活不过一周。卖家也清楚这点，所以交易基本是“一手交钱一手交货”，钱到账，shell发你，能不能连上、能活多久，看运气。

谁在管

我问过一个做安全应急响应的人，他说这类交易“管不过来”。数量太大，单笔金额太小，卖家身份隐蔽，支付用虚拟货币或者红包，追查成本远高于涉案金额。除非某个webshell被用于重大攻击，否则很难引起注意。

但这不代表没风险。去年有个案子，一个人卖了十几个webshell，其中一个被买家拿去篡改了某政府网站首页。顺着资金流和聊天记录，卖家还是被找到了。判了多久我没查到，但肯定比他卖shell赚的那点钱多得多。

群里依然热闹。新消息弹出来：“出某OA系统shell，稳定，懂的来。”下面有人问价，有人发了个“握手”表情。屏幕这头，你很难判断这些人到底知不知道自己在干什么。也许知道，也许不在乎。反正30块钱的事，能有多大？

可30块钱的webshell，背后可能是一个企业几年的数据，或者几万人的个人信息。这笔账，买家不算，卖家也不算。但总有人要算。