Scaricare i siti web che utilizzano ELOG HTTP

Informazioni su ELOG HTTP

Un registro elettronico scritto per un laboratorio di fisica delle particelle è una cosa strana da incontrare sull’internet pubblico, e tutto l’interesse di questa riga sta proprio in questa stranezza. ELOG HTTP non è un framework per pagine né un tag di marketing. ELOG HTTP è il token con cui un server si identifica, prodotto da un demone di registrazione che integra un proprio server web invece di collocarsi dietro un server generico.

Una prova ricavata dal banner di un server appartiene a una classe diversa rispetto a uno schema nel markup di una pagina. Il markup può essere copiato da un sito all’altro, messo in cache da un proxy o incollato in un template da qualcuno che non ha mai installato il software sottostante. Un banner proviene dal processo in esecuzione, quindi una corrispondenza indica che un programma specifico è in ascolto su quell’host. Per una questione di inventario o di esposizione, la distinzione conta più del conteggio.

Il software dietro il token è scritto in C, pubblicato con licenza GPL e attribuito a Paul Scherrer Institute, e il 2001 è il primo anno che il nostro record gli associa. Un istituto di ricerca che pubblica uno strumento a queste condizioni non ha un elenco clienti, né un server di licenze, né telemetria, quindi nessuno dei soggetti coinvolti sa dove sia finito il software. Una scansione è l’unico censimento che un progetto del genere avrà mai, e chi lo mantiene di solito impara di più da una scansione che dalle proprie statistiche di download.

La presenza dice qualcosa sull’host più che su un’azienda. Un registro elettronico di questo tipo raccoglie voci con data e ora relative ai passaggi di consegne tra turni, alla manutenzione degli strumenti e alle sessioni sperimentali, un lavoro svolto da laboratori, sale di controllo, osservatori, dipartimenti di ingegneria e servizi di fisica sanitaria ospedalieri. Un dominio corrispondente è un dominio in cui uno strumento interno di registrazione è raggiungibile dall’esterno, deliberatamente o meno, e una scoperta del genere merita una verifica a sé da parte di chiunque si occupi di superficie di attacco.

I dati di versione rendono il quadro ancora più nitido. Il nostro record mostra una sola build in circolazione, 3.1.5-, e un demone longevo scritto in un linguaggio di sistema e mantenuto da un piccolo team tende a essere aggiornato secondo i tempi di chi lo ha installato, non di chi lo mantiene. Sapere quale build risponde su un determinato host fa la differenza tra una riga di inventario e una su cui si può agire.

Qui la sottostima va in una direzione nota. I token del server si possono disattivare nella configurazione, e un reverse proxy o una rete di distribuzione dei contenuti posti davanti a un’istanza di solito sostituiscono il banner con il proprio, quindi un’istanza dietro un’infrastruttura moderna esce del tutto da un’indagine come la nostra. Molte istanze si trovano inoltre su reti private che nessun crawler raggiungerà mai. A ottobre 2026 il numero di siti su cui rileviamo ELOG HTTP è 1, il che è una stima per difetto dell’esposizione pubblica e non una misura di quante installazioni esistano.

Un elenco scaricabile è l’unico modo pratico per lavorare con una scoperta di questo tipo. Le verifiche per singolo dominio dicono se un host già sospettato esegue il software, ma le domande utili vanno nella direzione opposta. Trovare ogni host della scansione che risponde con questo banner, sapere quale build dichiara ciascuno e vedere cos’altro servono quegli host.