Scaricare i siti web che utilizzano Adminer

Informazioni su Adminer

Un pannello di amministrazione di database è uno strumento di manutenzione, non qualcosa che il proprietario di un sito intenda pubblicare. Trovare Adminer dall’esterno significa che l’interfaccia ha risposto a una richiesta arrivata dalla rete pubblica di internet e non da una rete privata, il che non corrisponde quasi mai a ciò che aveva in mente chi l’ha caricata.

Lo strumento Adminer è un’interfaccia per database scritta in PHP, pubblicata con licenza Apache 2.0 e disponibile dal 2007. L’idea alla base del progetto è il numero di file: si carica un solo file, lo si usa, lo si cancella. Nella pratica è proprio la cancellazione il passaggio che viene saltato, e se lo strumento compare in una scansione del web pubblico è soltanto per via delle copie dimenticate. Una schermata di login che risponde a una richiesta non è una violazione, ma una schermata di login che risponde da un indirizzo pubblico è una superficie esposta in cui l’unico controllo rimasto è una password.

La dispersione delle versioni rende il punto ancora più netto. Registriamo 15 stringhe di versione distinte, e quella che vediamo più spesso è 4.8.1. Un singolo file ospitato in proprio non si aggiorna da solo, quindi la versione presente su un host è una marca temporale dell’ultima volta in cui qualcuno ha messo mano a quel server, non il riflesso di ciò che il progetto distribuisce oggi. Un’ampia dispersione di stringhe vecchie in una popolazione è un indicatore ragionevole di quanta parte della base installata sia lasciata a sé stessa, il che conta quando viene pubblicata una vulnerabilità relativa a una specifica linea di rilascio e la correzione richiede che un essere umano se ne accorga.

A ottobre 2026 il dataset elenca Adminer su 169 siti. Il numero reale è certamente più alto. Le copie lasciate su percorsi impossibili da indovinare, protette da autenticazione a livello di server, limitate da liste di indirizzi autorizzati o servite su porte che un crawler non visita mai sono invisibili a qualsiasi osservazione esterna. Il nostro dato rappresenta il sottoinsieme raggiungibile pubblicamente, e lo scarto tra quel sottoinsieme e la base installata non è qualcosa che possiamo misurare onestamente, quindi non pretendiamo di farlo.

Chi ha bisogno dell’elenco di solito è impegnato a difendere, non a sondare. I provider di hosting controllano il proprio parco clienti alla ricerca di pannelli di amministrazione esposti. I fornitori di soluzioni per la gestione della superficie d’attacco hanno bisogno della popolazione per stabilire che aspetto abbia la normalità. I ricercatori di sicurezza che studiano come invecchiano gli strumenti ospitati in proprio hanno bisogno della distribuzione delle versioni su molti host, non su uno solo. Ognuna di queste domande riguarda un insieme di domini, e a nessuna si può rispondere controllando un dominio che si conosce già. Controllare un dominio conferma un sospetto. L’esportazione produce invece l’insieme di host da cui partire, collegato al provider di hosting, al paese e al resto dello stack di ciascuno, ed è lì che l’analisi comincia davvero.