Scaricare i siti web che utilizzano Apache Tomcat

Informazioni su Apache Tomcat

Un application server Java parla raramente con il visitatore in modo diretto. Di solito il server Apache Tomcat si trova dietro Apache HTTP Server o Nginx, il che significa che una scansione del web aperto vede il proxy e non il container sottostante. Ogni conteggio pubblico di un application server, compreso questo, è una stima per difetto e non un totale.

Ciò che riusciamo a vedere sono le installazioni che si annunciano da sole, tramite un header del server, una pagina di errore predefinita, un percorso riconoscibile o un endpoint di gestione rimasto raggiungibile. A ottobre 2026 l’insieme visibile ammonta a 82.549 siti. Registriamo solo 3 stringhe di versione distinte, molte meno di quelle che il progetto ha rilasciato, il che è già di per sé informativo: i team che mettono in sicurezza un container eliminano per prima cosa il banner, quindi le versioni che riusciamo a leggere sono sbilanciate verso installazioni che nessuno ha protetto. La versione 5.5 compare abbastanza spesso in questa popolazione da meritare attenzione, e un container che dichiara ancora una linea di rilascio così datata appartiene di solito a un’applicazione che nessuno ridistribuisce da anni.

Per questo software la geografia si comporta in modo curioso. Dei siti che rileviamo, 17.782 si trovano a Hong Kong, una concentrazione che dipende più dall’offerta di hosting che dal luogo in cui le applicazioni sono state scritte, mentre .com raccoglie buona parte del resto. Le applicazioni Java finiscono su qualunque infrastruttura l’operatore prenda in affitto, e i provider regionali che replicano lo stesso stack su ogni istanza dei clienti producono raggruppamenti che sembrano preferenze nazionali ma sono in realtà la configurazione predefinita di un singolo provider.

Per la ricerca, il valore di un riscontro sta nel fatto che identifica lo stack che si nasconde dietro la facciata. La presenza di Java sul server implica una storia di acquisti enterprise, un team di sviluppo interno oppure il prodotto di un fornitore distribuito come archivio installabile, e un ciclo di manutenzione che si misura in trimestri più che in rilasci continui. I fornitori di sicurezza, i fornitori di monitoraggio delle prestazioni applicative e le società di consulenza che vendono servizi di migrazione si rivolgono tutti a questo profilo. Anche chi scrive bollettini sulle vulnerabilità guarda a questo profilo, perché deve sapere quanto sia ampia la popolazione esposta prima che una vulnerabilità venga resa pubblica.

Mantenuto da Apache Software Foundation e distribuito con licenza Apache 2.0, il container è in uso ininterrotto dal 1999, abbastanza a lungo perché un unico numero appiattisca diverse popolazioni distinte: container aggiornati che eseguono applicazioni aggiornate, prodotti di tipo appliance che incorporano il server in modo invisibile e installazioni abbandonate che rispondono ancora su una porta dimenticata.

Controllare un host dice se quell’host, a una singola richiesta, ha ammesso di eseguire il container. L’esportazione permette di porre le domande che richiedono l’intera popolazione: quanta parte della base installata visibile si trova su una linea di rilascio non più mantenuta, quali paesi ed estensioni la ospitano e quali di quei domini espongono anche un percorso amministrativo o abbinano il container a un determinato reverse proxy. Poiché l’insieme visibile è un sottoinsieme di quello reale, l’uso onesto dei dati è comparativo. Le variazioni tra un’istantanea e l’altra e le differenze tra segmenti restano valide anche dove il totale grezzo è prudente.