Websites herunterladen, die ShellInABox nutzen

Über ShellInABox

Eine Webseite, die Ihnen einen Shell-Prompt liefert, ist entweder eine bewusste Erleichterung oder eine ernste Panne, und von außen sehen beide Fälle gleich aus. Das Tool kann Ihnen nicht sagen, welcher Fall vorliegt, und wir können es ebenso wenig. Genau deshalb lohnt es sich, diese Zeile zu veröffentlichen.

ShellInABox stellt einen Terminalemulator über HTTP bereit, damit ein Administrator eine Maschine aus dem Browser erreichen kann, ohne Client-Software zu installieren. Das Programm ist in C geschrieben, steht unter der Lizenz GPL v2 und stammt aus dem Jahr 2008, was es in die Generation von Hilfsprogrammen einordnet, die entstanden, als es ein echtes Problem war, einen SSH-Client durch einen Firmen-Proxy zu bekommen. Unser Eintrag nennt für das Tool kein Unternehmen, und das passt dazu, dass es als Hilfsprogramm eines einzelnen Autors entstanden ist und nicht als Produkt. Niemand verkauft das Tool, daher ist sein Einsatz auf einem Host eine Entscheidung dessen, der diese Maschine administriert, und kein Kauf, den jemand abgezeichnet hat.

Daraus folgt, dass ein erreichbarer Endpunkt ein Login-Zugang ist, der direkt in eine Shell auf einem echten Server führt. Die Erkennung zeigt uns, dass der Dienst antwortet. Sie zeigt uns nicht, ob der Endpunkt einen Schlüssel verlangt, hinter einem VPN liegt, eine Ratenbegrenzung hat oder durch Client-Zertifikate geschützt ist, und viele sorgfältige Administratoren betreiben einen solchen Zugang jahrelang sicher. Was die Zeile einem Asset-Discovery-Team aber verrät, ist, wo es zuerst nachsehen sollte, denn ein Irrtum über einen Terminal-Endpunkt kostet weit mehr als seine Überprüfung.

Stand Oktober 2026 erkennen wir ShellInABox auf 4 Hosts in der Kategorie Remote access, und begrenzt wird diese Zahl durch die Arbeitsweise des Crawls, nicht durch die tatsächliche Zahl der Installationen. Das Tool läuft häufig auf einem nicht standardmäßigen Port oder unter einem Pfad, auf den nichts verlinkt, und ein Crawler, der gewöhnlichen Weblinks folgt, kommt dort nie an. Was nur durch direktes Port-Scanning erreichbar ist, liegt außerhalb dessen, was diese Zahl misst. Der tatsächlich offen erreichbare Bestand ist also größer als der gecrawlte, wahrscheinlich sogar deutlich.

Sicherheitsforscher und Hosting-Anbieter sind die naheliegenden Leser dieser Liste. Die Prüfung einer einzelnen Domain klärt eine betriebliche Frage zu einem Server. Eine herunterladbare Liste klärt dagegen eine Grundsatzfrage: ob ein Hosting-Bestand, ein Provider-Netz oder ein Kundenstamm überhaupt per Browser erreichbare Shell-Endpunkte enthält, neben welcher anderen Server-Software sie auftauchen und ob ihre Zahl nach einer Sicherheitswarnung oder einer geänderten Provider-Richtlinie sinkt. Diese Frage kann niemand Domain für Domain stellen, und die Antwort ist nur über den gesamten Bestand hinweg aussagekräftig.