Websites herunterladen, die Oracle Application Server nutzen

Über Oracle Application Server

Enterprise-Middleware geht selten nach dem Zeitplan in den Ruhestand, den ihr Anbieter dafür vorsieht. Oracle Application Server war der Java-Applikationsserver, den der Anbieter Oracle für den Betrieb von Geschäftsanwendungen vorantrieb, bevor spätere Produkte desselben Unternehmens diese Rolle übernahmen, und die Installationen, die nie migriert wurden, schalteten sich nicht ab. Viele von ihnen bedienten einfach weiter Anfragen hinter dem Frontend, das die Organisation davorgesetzt hatte, lange nachdem sich die Roadmap anderswohin verlagert hatte.

Wer eine solche Installation von außen findet, erfährt deshalb etwas recht Konkretes. Die Plattform ist ein Java-Applikationsserver, hinter ihr steckt also mit ziemlicher Sicherheit eine Servlet- oder Enterprise-Bean-Anwendung, die jemand für einen Geschäftsprozess geschrieben hat, und keine Content-Website, die sich an einem Wochenende neu bauen ließe. Anwendungen dieser Art hängen meist an internen Datenbanken, an Authentifizierungssystemen und an Reporting-Jobs, und genau deshalb überleben sie: Wer den Server ersetzt, muss alles neu testen, was mit ihm in Berührung kommt.

Die Versionsdaten stützen diese Lesart. Wir verzeichnen 9 verschiedene Versionsangaben für die Plattform, und 10g/10.1.3.0.0 gehört zu denen, die wiederkehren. Eine so breite Streuung in einem kleinen Bestand ist die Signatur eingefrorener Installationen und nicht die einer gepflegten Flotte, denn eine aktiv verwaltete Flotte läuft auf eine Handvoll Versionen zusammen. Stattdessen bleibt jede Installation dort stehen, wo man sie zurückgelassen hat, und läuft mit dem Build, der aktuell war, als das Projekt ausgeliefert wurde.

Die Erkennung hängt hier davon ab, dass der Server sich selbst beschreibt. Versionsbanner, Standard-Fehlerseiten, typische Pfade und Konsolen-Endpunkte machen eine Installation identifizierbar, und ein Administrator, der dem Stack einen Reverse Proxy vorgeschaltet oder die Header entfernt hat, beseitigt das meiste davon. Die Folge ist eine Verzerrung, die man offen benennen sollte: Unter den Installationen, die wir zuordnen können, sind die überrepräsentiert, an denen niemand etwas nachjustiert, und das ist zugleich der Bestand, der am ehesten ungepatcht ist. Stand Oktober 2026 verzeichnen wir die Plattform auf 59 Websites, und die tatsächliche Zahl laufender Installationen hinter Proxys, privaten Netzen und umgeschriebenen Headern ist größer.

Zwei Zielgruppen nutzen eine solche Liste. Sicherheitsteams und Teams, die Angriffsflächen überwachen, wollen ein öffentliches Inventar einer Altplattform, mit dem sie ihren eigenen Bestand abgleichen können, und Beratungen, die Migrationsprojekte verkaufen, wollen wissen, welche Organisationen die Abhängigkeit noch mitschleppen, denn ein Migrationsangebot an ein Unternehmen, das diese Arbeit vor Jahren abgeschlossen hat, ist verschwendete Mühe. Dazwischen liegen Compliance und Asset-Inventarisierung, wo die Frage nicht lautet, ob eine Technologie gut ist, sondern ob noch jemand sie unterstützen kann.

Eine Abfrage pro Domain beantwortet eine Frage nach der anderen und kann Ihnen nicht zeigen, wie der verbliebene Bestand aussieht. Der Download beantwortet die schwierigere Variante der Frage: wie viele Hosts die Plattform noch offenlegen, wie sich die Versionsangaben auf sie verteilen und welche anderen Serverkomponenten häufig auf denselben Hosts auftauchen. Eine Inventur von Altsystemen ist eine Zählaufgabe, und zum Zählen braucht man die ganze Liste statt eines Suchfelds.