Що таке stats2.gif насправді

У теці зображень цього проєкту лежить файл stats2.gif. Він важить 366 байтів, датований березнем 2018 року і трапляється рівно в нулі рядків початкового коду. 23 серпня 2026 року його віддали 2735 разів із кодом 200, зі 145 різних сайтів — а за повний оберт журналу доступу з 858.

Файл, на який ніхто не посилається, який забирають тисячі разів на день із сотень чужих сторінок. Очевидне прочитання: стара вставка, яку ніхто не замінив, тихо віддає статичну картинку там, де колись був лічильник. Статичні файли повністю обходять PHP. Ніщо, що потрапляє прямо до Apache, не може нічого порахувати.

Тож ми написали інструмент. Він читає з журналу кожну сторінку, що посилається, забирає кожну тим самим перевіряльником, який сайт уже використовує для діагностики вставок — з його захистом від SSRF, бо ці адреси приходять із журналу, а не від нас — і дивиться, чи рахує на сторінці хоч щось насправді.

Усі 858 сторінок

уже рахують (поруч працює вставка)	501
взагалі недосяжні	288
значок є, номера лічильника в коді немає	69
лише старий значок, нічого не рахує	0

Жодної. Сімдесят п’ять хвилин завантажень, і відповідь — «ні».

Вимірювання, яке займає секунду

stats2.gif має розмір 13 на 14 пікселів.

Це не лічильник і не значок із числом. Це маленька піктограма статистики — саме те, що відтворює дизайн 981 у нинішній галереї, і коментар у його власному коді описує попередника точно: жодного видимого числа, лише маленький знак, який після натискання відкриває сторінку статистики. Він ніколи не мав рахувати. На тих сторінках завжди рахувало щось інше.

І зламаним файл також не є. Він відповідає кодом 200, із заголовком Last-Modified з 2018 року та річним терміном життя в кеші. Він робить свою роботу.

Один виклик getimagesize() закриває всю цю лінію розслідування за секунду. Тут питання звучало «чому цей файл так часто забирають», прийнята відповідь була «бо це зламаний лічильник», і все подальше спиралося на припущення, а не на файл — тому секундну перевірку варто робити першою.

Єдине, що справді зламане

З усього цього журнал показав один справжній дефект: одна адреса, запитувана десять разів на день, усі з кодом 410, у якій цілий фрагмент вставки опинився всередині href посилання. Хтось вставив код у поле, що екранує HTML. Його лічильник живий і рахує — в нікуди веде тільки його власне посилання на його власну статистику.

Інструмент лишається, без шляху запису. Питання було законним, відповідь — «ні», і те й те варто зберегти, щоб нікому не довелося ставити його вручну ще раз.