Websites herunterladen, die SimpleHTTP nutzen

Über SimpleHTTP

Die meiste Software in unserem Katalog hat sich jemand ausgesucht. Bei SimpleHTTP ist das meist nicht so. Das Modul wird mit Python ausgeliefert und ist dafür gedacht, dass ein Entwickler mit einem einzigen Befehl einen Ordner über HTTP bereitstellen kann, während er an etwas anderem arbeitet. Antwortet das Modul auf eine Anfrage aus dem öffentlichen Internet, lautet die übliche Erklärung, dass ein Prozess, der für einen Laptop oder einen Staging-Server bestimmt war, am Ende nach außen erreichbar ist.

Ein Vorkommen bedeutet hier deshalb etwas anderes als überall sonst in unseren Daten. Ein Treffer ist keine Kaufentscheidung und keine Vorliebe für ein Framework. Ein Treffer bedeutet, dass etwas offen im Netz steht. Der Server bietet keine Authentifizierung und keine nennenswerte Zugriffskontrolle, und standardmäßig listet er ein Verzeichnis auf und gibt alles heraus, was zufällig darin liegt. Manche dieser Hosts laufen absichtlich und stellen einen Paketindex oder eine statische Dateiablage bereit, in der nichts Sensibles abgelegt ist. Andere sind vergessene Prozesse, die sich seit Monaten niemand angesehen hat. Der Code reicht bis 1991 zurück und wird als Teil einer Standardbibliothek verbreitet (Lizenz: Open Source), was mit erklärt, warum er an unerwarteten Orten auftaucht. Nichts muss installiert werden, nichts steht in einer Abhängigkeitsdatei, und niemandem wird etwas in Rechnung gestellt.

Die Zielgruppe einer solchen Liste ist kein Marketingteam. Anbieter von Tools zur Überwachung von Angriffsflächen, Penetrationstester beim Abstecken eines Auftrags, nationale Incident-Response-Teams und Forschende, die messen, wie sich Fehlkonfigurationen verbreiten, wollen alle dasselbe: jeden Host, der derzeit so antwortet, und nicht die Prüfung einer einzelnen Domain, die sie ohnehin schon im Verdacht haben. Stand Oktober 2026 erkennen wir SimpleHTTP auf 633 Websites, und der Bestand wechselt schnell, weil ein solcher Prozess meist bemerkt und abgeschaltet wird.

Die Erkennung beruht auf dem Server-Banner, und daraus folgt direkt der Vorbehalt. Ein Banner ist nur ein selbst gemeldeter Text. Jeder kann diesen Text ändern, ein vorgeschalteter Reverse Proxy ersetzt ihn in der Regel, und ein Host hinter einem CDN zeigt stattdessen das CDN. Die Liste enthält daher die Hosts, die sich selbst zu erkennen geben, also nur eine Teilmenge der Hosts, auf denen das Modul tatsächlich läuft, und der Fehler geht nur in eine Richtung. Auch die Versionsdaten helfen nicht weiter. Der einzige Versionsstring, den wir erfassen, ist 0.6, und er bezieht sich auf die Protokollbibliothek und nicht auf den Interpreter, deshalb kann man damit weder einen Host datieren noch beurteilen, ob irgendetwas gepatcht ist.

Erst der Abgleich mit anderen Daten macht die Datei wertvoll. Sortiert man nach Endung, sieht man, ob sich die offenen Hosts auf den Endungen von Hochschulen, Behörden oder Unternehmen häufen. Gleicht man die Liste mit den Domains Ihrer Organisation ab, wird daraus eine Perimeterprüfung, die niemand von Hand durchführen musste. Verfolgt man sie über mehrere Datenstände hinweg, zeigt sich, ob eine Branche aufräumt oder nachlässiger wird. Ein Suchfeld für Einzelabfragen klärt nichts davon, denn es geht gerade darum, die Hosts zu finden, nach denen Sie gar nicht zu fragen wussten.