Websites herunterladen, die WebGUI nutzen

Über WebGUI

Als WebGUI 2001 erstmals erschien, war Perl ein gängiger Weg, Websites zu bauen, und für neue Projekte trifft heute fast nichts an diesem Satz mehr zu. WebGUI ist ein in Perl geschriebenes System der Kategorie CMS, veröffentlicht unter der Lizenz GPL v2 und kommerziell entwickelt vom Anbieter Plain Black Corporation, und es erschien zu einer Zeit, als Selbsthosting der Normalfall war und ein Content-System etwas, das eine Organisation installierte, konfigurierte und danach jahrelang besaß.

Genau diese Art von Besitz erklärt alles, was wir heute erkennen. Installationen verschwinden nicht, wenn ein Projekt an Schwung verliert. Sie bleiben bestehen, weil die Website noch funktioniert, die Inhalte weiterhin ausgeliefert werden und niemand einen Ersatz finanziert hat. Die Langlebigkeit begünstigt zudem einen bestimmten Typ von Betreiber. Organisationen mit kleinem Budget, einer stabilen Broschüren- oder Mitglieder-Website und ohne Lust auf einen Neuaufbau lassen solche Systeme weit über den Punkt hinaus laufen, an dem ein wachsendes Unternehmen längst gewechselt hätte. Eine Domain, auf der heute WebGUI läuft, ist daher meist eine langlebige Website mit einem Betreuer, der sie geerbt und nicht ausgesucht hat, und diese klar umrissene Lage lässt sich sehr gezielt ansprechen.

Die Versionsdaten stützen diese Lesart. Über die Installationen hinweg, die wir per Fingerprint erkennen, erfassen wir 6 verschiedene Versionskennungen, und Version 7.10.30 taucht darunter immer wieder auf. Eine so präzise Versionskennung auf einer so alten Release-Linie ist das Kennzeichen einer Installation, die lange Zeit sich selbst überlassen blieb. Die Zersplitterung über so viele Kennungen zeigt zudem, dass kein koordinierter Upgrade-Pfad greift, was man bei unabhängigen, selbst gehosteten Installationen auch erwarten würde und nicht bei einer zentral verwalteten Flotte.

Drei Zielgruppen kaufen Listen dieser Art. Agenturen für Plattformwechsel und konkurrierende Anbieter in der Kategorie CMS behandeln einen alternden, selbst gehosteten Bestand als Pipeline, denn jeder Eintrag ist eine Website, die früher oder später umziehen muss, und ein Betreiber, den noch niemand angesprochen hat. Sicherheitsforscher lesen dieselbe Liste als Angriffsfläche, denn ungewarteter serverseitiger Code mit einer Administrationsoberfläche auf einem öffentlichen Host ist das klassische Bild eines leichten Ziels. Historiker des Webs und Forscher, die verfolgen, welche Programmiersprachen in einer Kategorie verwendet werden, erhalten eine messbare Spur eines Niedergangs, der sonst nur anekdotisch belegt ist.

Die Erkennung hat Grenzen, die man benennen sollte. Die Version stammt aus dem, was die Software im Markup oder in Headern angibt, und ein Administrator kann diese Angaben entfernen. Die Abdeckung der Versionen ist daher lückenhaft, und Installationen, die nie gehärtet wurden, sind darin überrepräsentiert. Eine Website kann außerdem hinter einem Reverse-Proxy liegen oder in statische Dateien exportiert sein, und dann ist das System der Kategorie CMS dahinter für uns unsichtbar. Ein Treffer bedeutet, dass der Fingerprint aufgetaucht ist, nicht dass die Installation gewartet oder überhaupt noch administriert wird.

Stand Oktober 2026 erkennen wir WebGUI auf 169 Websites. Eine einzelne Installation zu bestätigen, ist eine Abfrage, die jeder durchführen kann. Den gesamten verbliebenen Bestand zu liefern, wie ihn eine Migrations-Pipeline, eine Schwachstellenerhebung oder eine Studie über Perl im öffentlichen Web tatsächlich braucht, ist der Zweck der herunterladbaren Liste.