Websites herunterladen, die ELOG HTTP nutzen

Über ELOG HTTP

Ein elektronisches Logbuch, das für ein Labor der Teilchenphysik geschrieben wurde, ist im öffentlichen Internet ein seltsamer Fund, und gerade diese Kuriosität macht den ganzen Reiz dieses Eintrags aus. ELOG HTTP ist weder ein Seiten-Framework noch ein Marketing-Tag. ELOG HTTP ist die Kennung, die ein Server über sich selbst sendet, erzeugt von einem Logging-Daemon, der einen eigenen eingebauten Webserver mitbringt, statt hinter einem Allzweck-Webserver zu laufen.

Ein Indiz aus einem Server-Banner ist von anderer Art als ein Muster im Seiten-Markup. Markup kann zwischen Websites kopiert, von einem Proxy zwischengespeichert oder von jemandem in ein Template eingefügt werden, der die zugrunde liegende Software nie installiert hat. Ein Banner stammt vom laufenden Prozess, ein Treffer zeigt also, dass auf diesem Host ein bestimmtes Programm lauscht. Bei der Inventarisierung oder bei der Frage, was offen erreichbar ist, zählt dieser Unterschied mehr als die Zahl.

Die Software hinter der Kennung ist in C geschrieben, unter der Lizenz GPL veröffentlicht und wird der Forschungseinrichtung Paul Scherrer Institute zugeschrieben, wobei unser Eintrag 2001 als frühestes Jahr nennt. Ein Forschungsinstitut, das ein Werkzeug unter solchen Bedingungen veröffentlicht, hat keine Kundenliste, keinen Lizenzserver und keine Telemetrie, und so weiß niemand der Beteiligten, wo die Software gelandet ist. Ein Crawl ist die einzige Zählung, die ein solches Projekt je bekommt, und die Maintainer erfahren daraus meist mehr als aus ihren eigenen Downloadzahlen.

Der Einsatz sagt etwas über den Host aus und nicht über ein Unternehmen. Logbuch-Software dieser Art hält zeitgestempelte Einträge zu Schichtübergaben, Gerätewartung und Versuchsläufen fest, also Arbeit, wie sie in Laboren, Leitwarten, Observatorien, Ingenieurabteilungen und medizinphysikalischen Teams in Kliniken anfällt. Eine zugeordnete Domain ist eine, auf der ein internes Werkzeug zur Dokumentation von außen erreichbar ist, absichtlich oder nicht, und ein solcher Befund verdient bei allen, die Angriffsflächen analysieren, eine eigene Prüfung.

Die Versionsdaten schärfen das Bild weiter. Unser Eintrag zeigt einen einzigen Build im Umlauf, Version 3.1.5-, und ein langlebiger Daemon, der in einer Systemsprache geschrieben ist und von einem kleinen Team gepflegt wird, wird meist nach dem Zeitplan dessen aktualisiert, der ihn installiert hat, und nicht nach dem des Maintainers. Zu wissen, welcher Build auf einem bestimmten Host antwortet, ist der Unterschied zwischen einer bloßen Inventarzeile und einer, aus der sich Maßnahmen ableiten lassen.

Die Untererfassung folgt hier einem bekannten Muster. Server-Kennungen lassen sich in der Konfiguration abschalten, und ein vorgeschalteter Reverse-Proxy oder ein Content-Delivery-Network ersetzt das Banner in der Regel durch ein eigenes. Eine Instanz hinter moderner Infrastruktur fällt dann ganz aus einer Erhebung wie unserer heraus. Viele Instanzen laufen zudem in privaten Netzen, die kein Crawler je erreichen wird. Stand Oktober 2026 erkennen wir ELOG HTTP auf 1 Website, was eine Untergrenze für die öffentliche Erreichbarkeit ist und keine Messung, wie viele Installationen es gibt.

Eine herunterladbare Liste ist der einzige praktikable Weg, mit einem Befund dieser Art zu arbeiten. Prüfungen pro Domain zeigen, ob ein Host, den Sie bereits im Verdacht haben, die Software betreibt, doch die nützlichen Fragen stellen sich umgekehrt. Welche Hosts im Crawl antworten mit diesem Banner, welchen Build meldet jeder von ihnen, und was liefern diese Hosts sonst noch aus?