Websites herunterladen, die Clockwork nutzen

Über Clockwork

Niemand installiert eine Debugging-Toolbar, damit Fremde darin lesen können. In PHP geschrieben und seit 2013 unter der Lizenz MIT veröffentlicht, steckt Clockwork in einer laufenden Anwendung. Dort zeichnet das Tool Laufzeiten, Datenbankabfragen, Log-Ausgaben und Request-Payloads auf und reicht die gesammelten Daten an eine Browser-Erweiterung oder einen eigenständigen Viewer weiter. Auf dem Laptop eines Entwicklers ist genau das der Sinn der Sache. Auf einem öffentlichen Host wird daraus eine Beschreibung des Innenlebens der Anwendung, abrufbar für jeden, der auf die Idee kommt, danach zu fragen.

Ein Treffer lässt sich deshalb auf zwei Arten zugleich lesen. Die eine Lesart ist technisch: Die Website betreibt eine PHP-Anwendung, die so gut wie sicher auf einem der Frameworks aufsetzt, in die sich die Toolbar einklinkt, was den Stack weit stärker eingrenzt als ein Server-Banner. Die andere betrifft die Abläufe: Eine Konfiguration für die lokale Arbeit ist mit eingeschalteter Instrumentierung in die Produktion gelangt, oder ein Staging-Host wurde ins offene Internet gestellt, ohne dass es jemand bemerkt hat. Keine der beiden Lesarten schmeichelt dem Betreiber, und beide sind nützlich, wenn Sie beruflich nach Stellen suchen, an denen Konfigurationen vom Sollzustand abgewichen sind.

Da die Toolbar als Bibliothek ausgeliefert wird und nicht als gehostetes Skript, gehört ihre Version zum Fingerabdruck. Derzeit unterscheiden wir bei den Installationen, die antworten, 29 verschiedene Release-Strings, und am häufigsten taucht Version 5.3.3 auf. Eine so breite Streuung bei einer Entwickler-Abhängigkeit bedeutet meist, dass das Paket zu Projektbeginn einmal auf eine Version festgelegt und danach nicht mehr angefasst wurde, was ebenso viel über Wartungsgewohnheiten aussagt wie über das Paket selbst.

Die Erkennung beruht hier auf Rückschlüssen, und sie zählt zu wenig. Die Toolbar lässt sich mit deaktivierter Oberfläche installieren, auf bestimmte Adressen beschränken, auf einen Port legen, den niemand scannt, oder nur bei gesetztem Debug-Flag aktivieren. In jedem dieser Fälle ist die Anwendung instrumentiert, ohne dass etwas bei uns ankommt. Wer Clockwork zählt, zählt die Installationen, die antworten, und nicht die, die existieren. Stand Oktober 2026 erfassen wir das Tool auf 284 Websites, und die Zahl sollte man eher als Untergrenze lesen denn als Vollerhebung.

Die herunterladbare Liste beantwortet eine Frage, die sich durch die Prüfung einzelner Domains nicht beantworten lässt. Eine Einzelabfrage zeigt, ob ein bestimmter Host offenliegt. Der vollständige Bestand zeigt, wie verbreitet diese Offenlegung ist, bei welchen Hosting-Anbietern und in welchen Framework-Communities sie sich häuft und ob sich die Zahl bewegt, wenn die Maintainer ihre Standardeinstellungen verschärfen. Sicherheitsforscher nutzen eine solche Liste, um den Umfang einer Klasse von Fehlkonfigurationen abzuschätzen, bevor sie entscheiden, ob sich ein Bericht lohnt. Anbieter, die Profiling, Error-Tracking oder Anwendungs-Monitoring in der PHP-Welt verkaufen, lesen dieselben Zeilen als Landkarte von Teams, die ihren Code bereits instrumentieren und dafür zuerst zu einer kostenlosen Lösung gegriffen haben.