Websites herunterladen, die MiniServ nutzen

Über MiniServ

MiniServ sucht sich niemand aus. Der Server kommt als Teil von Webmin, dem browserbasierten Administrationswerkzeug, für das er geschrieben wurde, und wer dieses Panel installiert, erbt einen Webserver, ohne je einen geprüft zu haben. Die Software ist in Perl geschrieben, stammt aus dem Jahr 2000 und erledigt eine einzige Aufgabe: eine authentifizierte Administrationsoberfläche auf einem Port bereitstellen, Sitzungen halten, die Verschlüsselung terminieren und ansonsten nicht im Weg stehen.

Wer einen solchen Server bei einer Erhebung von Websites findet, hat ein Admin-Panel gefunden, das dem öffentlichen Internet antwortet. Webmin lauscht normalerweise auf einem eigenen Port statt auf den Ports, die eine Website nutzt, ein Treffer ist also kein alltägliches Hintergrundrauschen. Ein Treffer belegt, dass die Administrationsoberfläche eines Rechners von außen erreichbar ist, statt auf ein internes Netz oder einen privaten Tunnel beschränkt zu sein, was bei einem Werkzeug, das Benutzer, Pakete, Dienste und Dateien mit vollen Rechten verwaltet, der eigentliche Sicherheitsbefund ist.

Interessant ist hier vor allem die Versionsspalte. Auf einem Teil des Bestands können wir ein Versions-Banner auslesen, und in diesem Teil zählen wir 3 verschiedene Releases, wobei unser Crawl Version 1.801 am häufigsten verzeichnet. Eine so breite Streuung in einem so kleinen Bestand zeigt, dass die Software dem Zeitplan des Betreibers folgt und nicht dem des Maintainers. Panels werden einmal installiert, erledigen ihre Aufgabe und behalten das Release, mit dem sie ausgeliefert wurden, denn nichts an ihnen verlangt so nach Aufmerksamkeit, wie es ein Browser oder ein Smartphone tut. Bei privilegierter Software für die Fernadministration ist der Abstand zwischen dem Release, das ein Host betreibt, und dem aktuellen Release der Kern der Sache, und die Versionsverteilung ist die einzige Spalte, die diese Frage in großem Maßstab klärt.

Stand Oktober 2026 sehen wir den Server auf 3 Websites. Die Zahl unterschätzt die tatsächliche Verbreitung deutlich, und zwar aus einem strukturellen, nicht aus einem technischen Grund: Unser Crawl folgt Websites, und Installationen dieser Art laufen auf Infrastruktur-Hosts, auf die keine öffentliche Website verweist, und auf Ports, die kein Website-Scan aufsuchen würde. Betrachten Sie die Liste als Verzeichnis sichtbarer Panels, nicht als installierte Basis.

Der Server wird unter der Lizenz BSD vertrieben und dem Entwickler Jamie Cameron zugeschrieben. Einen kommerziellen Eigentümer, mit dem man im Vertrieb konkurrieren könnte, gibt es also nicht, und das verändert, wer die Datei haben möchte. Gefragt ist sie bei Sicherheitsforschern, die Bestandsaufnahmen exponierter Systeme aufbauen, bei Hosting-Anbietern, die prüfen, was Kunden auf ihren eigenen Rechnern geöffnet haben, und bei allen, die messen, wie viel administrative Angriffsfläche das öffentliche Web noch bietet. Eine Einzelabfrage bestätigt einen exponierten Host. Der Download samt Versionsspalte beschreibt einen Bestand: wie viele exponierte Panels es gibt, wie weit sie hinterherhinken und ob sich dieser Rückstand von Release zu Release verringert oder vergrößert.