Websites herunterladen, die Winstone Servlet Container nutzen

Über Winstone Servlet Container

Ein eingebetteter Servlet-Container ist in der Regel nicht dafür gedacht, direkt am öffentlichen Internet zu hängen. Winstone Servlet Container wurde dafür gebaut, klein zu sein, schnell zu starten und in einer anderen Java-Anwendung als die Komponente zu laufen, die HTTP-Anfragen beantwortet, eine Rolle, die normalerweise hinter einem Proxy oder in einem privaten Netz angesiedelt ist. Taucht ein solcher Container auf einem öffentlichen Host auf, ist meist ein internes Tool erreichbar geblieben.

Diese Einordnung erklärt, was eine Erkennung wert ist. Ein Build-Server, eine Monitoring-Konsole oder eine Verwaltungsanwendung, die direkt unter einer öffentlichen Adresse antwortet, ist ein Befund über den IT-Betrieb der Organisation dahinter und keine Kaufentscheidung eines Webteams. Wer Angriffsflächen, Software-Lieferketten oder den Long Tail der Java-Infrastruktur untersucht, interessiert sich genau für diesen Unterschied, und wer Marktanteile von Webservern erforscht, sollte den Fingerabdruck nicht als Signal für Marktanteile lesen.

Winstone Servlet Container steht unter der Lizenz LGPL und stammt aus dem Jahr 2003. Ein Anbieter ist nicht verzeichnet, was für ein Projekt, das als Quellcode gepflegt und nicht als Produkt verkauft wird, üblich ist. Unser Index verzeichnet für den Container eine einzige Versionskennung, Version 0.9.10, ein Release aus der Zeit, als das Projekt noch aktiv entwickelt wurde. Ein Host, der noch mit einer alten Container-Version antwortet, sagt etwas darüber aus, wie lange sich niemand um die Maschine gekümmert hat, und eine Automatisierung, die einfach weiterläuft, ist eine wahrscheinlichere Erklärung als ein Betreiber, der die Version bewusst festhält.

Der Container wird außerdem weithin mit Werkzeugen für Continuous Integration in Verbindung gebracht, die ihn jahrelang als Server hinter einer selbst gehosteten Weboberfläche ausgeliefert haben. Wo wir ihn erkennen, steckt dahinter oft genau eine solche gebündelte Installation und nicht die bewusste Wahl eines Webservers durch denjenigen, der die Domain registriert hat.

Stand Oktober 2026 erkennen wir den Fingerabdruck in unseren Daten auf 1 Website. Zwei Einschränkungen sorgen dafür, dass die Zahl konservativ ausfällt. Die Erkennung setzt voraus, dass sich der Server in Antwort-Headern oder auf Fehlerseiten zu erkennen gibt, und Betreiber, die einer Anwendung einen Proxy oder ein Content-Delivery-Network vorschalten, entfernen oder überschreiben in der Regel genau diese Angaben. Alles, was nur in einem privaten Netz erreichbar ist, liegt per Definition außerhalb eines öffentlichen Crawls, und bei Software dieser Art ist der private Betrieb der Normalfall und nicht die Ausnahme.

Eine Prüfung pro Domain zeigt, ob ein bestimmter Host mit diesem Container antwortet. Der Export klärt die Fragen, für die man den gesamten Bestand braucht: auf welchen Endungen und in welchen Hosting-Netzen die offen erreichbaren Instanzen liegen, ob der Bestand schrumpft, während Organisationen alte Java-Werkzeuge ausmustern, und welche andere veraltete Serversoftware auf denselben Hosts auftaucht. Für die Sicherheitsforschung liegt der Wert einer Liste gegenüber einer Einzelabfrage darin, dass Exponierung ein Muster ist, und ein Muster braucht einen ganzen Bestand und keine Stichprobe aus einem einzigen Fall.