Websites herunterladen, die phpMyAdmin nutzen

Über phpMyAdmin

Eine Konsole zur Datenbankverwaltung ist keine Funktion einer Website. phpMyAdmin dient dazu, einem Betreiber ein Browserfenster auf MySQL- und MariaDB-Tabellen zu öffnen, und das Tool gehört auf eine interne Adresse oder hinter eine Zugangskontrolle, was den Fund im öffentlichen Web zu einer anderen Art von Beobachtung macht als den Fund eines Themes oder eines Analytics-Tags. Niemand hat das Tool als Teil eines Website-Designs ausgewählt. Jemand hat es zur Wartung installiert und erreichbar gelassen, oder ein Hosting-Panel hat es standardmäßig mitgeliefert.

The phpMyAdmin Project pflegt die Software seit 1998 und vertreibt sie als PHP-Code unter der Lizenz GPL v2, was ein Großteil der Erklärung dafür ist, dass sie überall läuft. Shared-Hosting-Anbieter liefern sie mit, lokale Entwicklungs-Stacks enthalten sie, und Hosting-Panels installieren sie ungefragt. Der so entstandene Bestand spiegelt die Voreinstellungen der Hoster weit stärker wider als irgendeine Entscheidung der Menschen, denen die Websites gehören. Stand Oktober 2026 erfassen wir die Software auf 1.926 Hosts.

Der sichtbare Teil ist zugleich der interessante und der irreführende. Eine Installation, die auf bestimmte Adressen beschränkt, durch eine Passwortabfrage auf Serverebene geschützt oder von ihrem üblichen Pfad verlegt ist, antwortet uns nicht auf dieselbe Weise, sodass das Sichtbare zu Installationen hin verzerrt ist, die so geblieben sind, wie sie entpackt wurden. Wer die Datei als Maß für die gesamte Verbreitung liest, wird gründlich danebenliegen. Als Maß für die Gefährdung gelesen, werden dieselben Zeilen dagegen zu einem der direkter verwertbaren Verzeichnisse, die wir veröffentlichen, denn eine erreichbare Datenbankkonsole ist schon für sich genommen ein Befund.

Die Versionsangaben für dieses Tool sind dünn. Wo überhaupt eine Build-Angabe erfasst ist, lautet sie meist Version 5.2.3, und die Spalte bleibt über die gesamte Datei nahezu einheitlich, sodass sie aktuelle Installationen nicht von veralteten trennt. Wer eigentlich nach dem Patch-Stand fragt, sollte unsere Zeilen als Zielliste für einen Scan behandeln und nicht als dessen Ergebnis. Das offen zu sagen, ist besser, als eine Präzision anzudeuten, die der Crawl nicht hat.

Eine Liste dieser Art nutzen mehrere Zielgruppen. Sicherheitsforscher und Anbieter von Attack-Surface-Management wollen wissen, welche Hostnamen innerhalb eines Kundenstamms, einer Lieferkette oder eines Landes überhaupt eine Verwaltungskonsole offenlegen. Hosting-Unternehmen wollen sehen, welche Anbieter das Tool standardmäßig ausliefern und wie das im Vergleich zu ihrer eigenen Ausstattung aussieht. Infrastrukturanbieter nutzen die Liste als Fingerprint für den Long Tail des Shared Hostings, denn der Einsatz der Konsole zusammen mit einem bestimmten Server-Banner oder einer bestimmten Laufzeitumgebung verrät viel über das Panel darunter.

Der Vorteil gegenüber der Prüfung einzelner Domains ist nicht die Geschwindigkeit. Eine Einzelabfrage zeigt, ob ein Host antwortet, und diese Frage kann man nur zu Hosts stellen, die man bereits im Verdacht hat. Die Datei antwortet in die andere Richtung: Sie geht von der Technologie aus und liefert den Bestand, bereit zur Verknüpfung mit Land, Endung, Serversoftware und dem übrigen Stack. Nichts davon lässt sich Domain für Domain nachbilden.