Websites herunterladen, die XAMPP nutzen

Über XAMPP

Wer XAMPP unter einer öffentlichen Adresse antworten sieht, findet etwas an einem Ort, für den es nie gebaut wurde. Das Paket soll einem Entwickler fast ohne Konfiguration einen funktionierenden Webserver, eine Datenbank, eine Skript-Laufzeitumgebung und einen Mail-Stack auf dem Laptop bereitstellen, und seine Voreinstellungen sind auf Bequemlichkeit ausgelegt, nicht auf den Betrieb im offenen Netz: großzügige Einstellungen, Beispielanwendungen, Verwaltungstools, die ohne viel Widerstand erreichbar sind. Das Projekt Apache Friends liefert das Paket, das auf einem PHP-Stack aufbaut, seit 2002 unter der Lizenz GPL v2 aus und hat stets klargestellt, dass das Ergebnis eine Entwicklungsumgebung ist.

Stand Oktober 2026 sehen wir XAMPP auf 16 Websites antworten, und jede davon verdient einen zweiten Blick, denn wenn ein Entwicklungspaket aus dem offenen Internet erreichbar ist, steckt meist eine von wenigen typischen Geschichten dahinter: eine Workstation, die versehentlich erreichbar wurde und in Vergessenheit geriet, eine Demo, die stillschweigend zur Dauerlösung wurde, ein Hosting-Konto, auf dem jemand eine lokale Umgebung auf einen Server kopiert hat, oder eine Appliance, die das Paket mitbrachte und nie für den Zugriff von außen gedacht war.

Die Versionsdaten stützen diese Deutung. Bei den Installationen, die überhaupt einen Versionsstring zeigen, liefert unser Fingerprint einen einzigen Wert: Version 1.6.7, ein Build, der viele Jahre älter ist als das, was das Projekt heute ausliefert. Eingefrorene Versionsstrings sind das äußere Erkennungszeichen aufgegebener Maschinen. Niemand patcht diese Hosts, und die Komponenten unter dem Paket haben sich weit von dem entfernt, was dort noch antwortet.

Die Erkennung beruht auf Schlussfolgerungen, und die Zahl ist eine Untergrenze. Ein Server gibt sich nur dann als das Paket zu erkennen, wenn eine Standardseite, ein Signatur-Header oder eines der mitgelieferten Tools erreichbar bleibt. Eine aufgeräumte Installation ist daher nicht von einem von Hand zusammengestellten Stack aus denselben Komponenten zu unterscheiden. Gerade die am sorgfältigsten versteckten Systeme fehlen in der Liste.

Teams für Angriffsflächenmanagement, Hosting-Anbieter, die ihren eigenen Bestand prüfen, und Forschende, die messen, wie viel ungepflegte Infrastruktur noch online ist, brauchen alle dasselbe, nämlich die Domainliste selbst und kein Urteil über einen einzelnen Hostnamen. Wer eine einzelne Adresse prüft, erfährt etwas über diese Adresse. Ein herunterladbarer Datensatz, verknüpft mit Registrar-, Hosting- und Länderdaten, zeigt, welche Anbieter den Großteil dieser Exponierung tragen, ob sie sich auf bestimmte Länderendungen oder bestimmte Shared Hosts konzentriert und wie sich der Bestand zwischen zwei Exporten verändert. Nur diese Messung beendet den Streit darüber, ob das Problem schrumpft oder sich bloß woandershin verlagert.