Websites herunterladen, die Apache Tomcat nutzen

Über Apache Tomcat

Ein Java-Anwendungsserver spricht selten direkt mit dem Besucher. Apache Tomcat läuft meist hinter dem Apache HTTP Server oder Nginx, was bedeutet, dass ein Scan des offenen Webs den Proxy sieht und nicht den Container darunter. Jede öffentliche Zählung eines Anwendungsservers, auch diese, ist eine Untergrenze und keine Gesamtzahl.

Sichtbar sind die Installationen, die sich selbst zu erkennen geben, über einen Server-Header, eine Standard-Fehlerseite, einen charakteristischen Pfad oder einen Management-Endpunkt, der erreichbar geblieben ist. Stand Oktober 2026 umfasst der sichtbare Teil 31.263 Websites. Wir erfassen nur 3 verschiedene Versionsstrings, weit weniger, als das Projekt veröffentlicht hat, was für sich schon aufschlussreich ist: Teams, die einen Container härten, entfernen zuerst das Banner, deshalb stammen die lesbaren Versionen überproportional von Installationen, die niemand abgesichert hat. Version 5.5 taucht in diesem Bestand oft genug auf, um Beachtung zu verdienen, und ein Container, der noch eine Versionslinie dieses Alters anzeigt, gehört meist zu einer Anwendung, die seit Jahren niemand neu ausgerollt hat.

Die Geografie verhält sich bei dieser Software eigenartig. 13.470 der erkannten Websites werden in Hongkong gehostet, eine Konzentration, die mehr mit dem Hosting-Angebot zu tun hat als damit, wo die Anwendungen geschrieben wurden. Auf die Endung .com entfällt ein großer Teil des Rests. Java-Anwendungen laufen dort, wo der Betreiber Infrastruktur mietet, und regionale Provider, die auf jede Kundeninstanz denselben Stack aufspielen, erzeugen Häufungen, die wie nationale Vorlieben aussehen, in Wahrheit aber die Standardkonfiguration eines einzigen Providers sind.

Der Wert eines Treffers für die Recherche liegt darin, dass er den Stack hinter der Tür sichtbar macht. Java auf dem Server deutet auf gewachsene Einkaufsstrukturen eines Großunternehmens hin, auf ein internes Entwicklungsteam oder ein Anbieterprodukt, das als einsatzfertiges Archiv ausgeliefert wird, und auf einen Wartungszyklus, der in Quartalen gemessen wird und nicht in Pushes. Sicherheitsanbieter, Anbieter von Performance-Monitoring und Beratungshäuser mit Migrationsangeboten zielen alle auf dieses Profil. Dasselbe gilt für die Verfasser von Sicherheitshinweisen, die wissen müssen, wie groß der exponierte Bestand ist, bevor eine Schwachstelle offengelegt wird.

Der Container wird von der Stiftung Apache Software Foundation gepflegt, unter der Lizenz Apache 2.0 veröffentlicht und ist seit 1999 ununterbrochen im Einsatz, lange genug, dass eine einzelne Zahl mehrere verschiedene Bestände in einen Topf wirft: aktuelle Container mit aktuellen Anwendungen, Appliance-artige Produkte, die den Server unsichtbar einbetten, und aufgegebene Installationen, die noch auf einem vergessenen Port antworten.

Die Prüfung eines Hosts zeigt, ob dieser Host bei einer einzelnen Anfrage zugegeben hat, den Container zu betreiben. Der Export eignet sich für die Fragen, die den Gesamtbestand voraussetzen: welcher Anteil der sichtbaren installierten Basis auf einer nicht mehr gepflegten Versionslinie läuft, auf welche Länder und Endungen sie entfällt und welche dieser Domains zusätzlich einen Administrationspfad offenlegen oder den Container mit einem bestimmten Reverse Proxy kombinieren. Weil der sichtbare Teil nur eine Teilmenge des tatsächlichen Bestands ist, dienen die Daten, seriös genutzt, dem Vergleich. Veränderungen zwischen Snapshots und Unterschiede zwischen Segmenten bleiben auch dort belastbar, wo die Rohzahl zurückhaltend ausfällt.