Websites herunterladen, die ThinkPHP nutzen

Über ThinkPHP

Serverseitige Frameworks lassen sich von außen vergleichsweise schwer erkennen, denn ein Framework hat seine Arbeit erledigt, bevor der Browser etwas sieht. ThinkPHP erkennen wir an dem, was an den Rändern durchsickert: Routing- und URL-Konventionen, die Standard-Fehlerausgabe, die Benennung der Session-Cookies, gelegentliche Response-Header und die Dateistruktur einer Standardinstallation. Die Erkennung beruht auf Rückschlüssen, und man muss sowohl mit übersehenen Installationen als auch mit gelegentlichen Falschtreffern bei Forks rechnen.

Mit diesem Vorbehalt lohnt es sich, das Framework zu kartieren, und zwar gerade wegen der Region, in der es zu Hause ist. ThinkPHP wurde im Jahr 2006 vom Anbieter Top Think entwickelt, ist in PHP geschrieben und steht unter der Lizenz Apache 2.0, und seine Dokumentation, seine Tutorials und seine Community sind auf Chinesisch entstanden. Ein Framework, dessen Lernmaterial in einer einzigen Sprache vorliegt, sammelt in der Regel eine Nutzerbasis in einem einzigen Markt, und die Erkennungsdaten spiegeln genau das wider.

Stand Oktober 2026 erkennen wir ThinkPHP auf 17.073 Websites, und 6.475 davon verorten wir in China. Eine solche Verteilung ist in Daten zu Webtechnologien ungewöhnlich, denn dort konzentriert sich das Muster normalerweise auf die Vereinigten Staaten, ganz gleich, was gemessen wird. Für alle, die regionale Tech-Stacks untersuchen, ist eine Technologie, die das Standardmuster durchbricht, der interessante Fall und keine Ausnahme, die man verwirft.

Die Domain-Endungen häufen sich dennoch bei .com, was nützlich daran erinnert, dass die Endung ein schwacher Indikator für das Publikum ist. Kommerzielle Registrierungsgewohnheiten sind global, und eine Website für ein inländisches Publikum liegt ebenso wahrscheinlich auf einer generischen kommerziellen Domain wie auf einer nationalen. Bei dieser Technologie steckt das Signal in den Länderdaten und Sprachmerkmalen, nicht in der Endung.

Das Framework hat außerdem eine Sicherheitsgeschichte, die dem Bestand einen zweiten Verwendungszweck gibt. Lücken zur Remote-Code-Ausführung in älteren Versionen wurden von automatisierten Scannern massenhaft ausgenutzt, und nie aktualisierte Installationen bleiben eine erkennbare Risikogruppe. Ein Inventar öffentlich erreichbarer Installationen ist ein legitimes Forschungsartefakt für alle, die messen, wie lange bekanntermaßen verwundbare Software online bleibt. Allerdings können wir für den Großteil der Erkennungen keine Versionsnummer ermitteln, und deshalb identifiziert die Datei das Framework, nicht den Patch-Stand.

Kommerziell klärt der Bestand eine andere Frage. Hosting-Anbieter, Sicherheitsanbieter, Agenturen und Softwareunternehmen, die den Eintritt in den chinesischen Markt planen, wollen wissen, wie der lokale Tech-Stack tatsächlich aussieht, und nicht, was englischsprachige Technologieumfragen berichten. Eine Abfrage pro Domain kann dieses Bild nicht liefern. Eine herunterladbare Liste kann es, und erst die Spalten für Land und Domain machen sie so sortierbar, dass etwas Brauchbares daraus wird.