Descarregar sites que utilizam XAMPP

Sobre XAMPP

Encontrar o XAMPP a responder num endereço público significa encontrar algo num sítio para o qual nunca foi feito. O pacote existe para dar a um programador um servidor web, uma base de dados, um motor de scripting e uma pilha de correio a funcionar num portátil com quase nenhuma configuração, e os seus valores por omissão são escolhidos para conveniência e não para exposição: definições permissivas, aplicações de exemplo, ferramentas administrativas alcançáveis sem grande resistência. A Apache Friends distribui-o desde 2002 com licença GPL v2, construído em torno de uma pilha PHP, e o projeto sempre foi explícito quanto ao facto do resultado ser um ambiente de desenvolvimento.

Em outubro de 2026 vemo-lo a responder em 16 sites. Cada um deles merece um segundo olhar, porque chegar a um pacote de desenvolvimento a partir da internet aberta costuma significar uma de uma lista curta de histórias: uma estação de trabalho que ficou exposta e foi esquecida, uma demonstração que se tornou permanente sem alarde, uma conta de alojamento onde alguém copiou um ambiente local para um servidor, ou um equipamento que trazia o pacote lá dentro e nunca foi pensado para estar virado para fora.

Os dados de versão apoiam essa leitura. Nas instalações onde sequer é visível uma cadeia de versão, a nossa impressão digital resolve um único valor, 1.6.7, uma compilação muito anterior ao que o projeto distribui hoje. As cadeias de versão congeladas são o aspeto que as máquinas abandonadas têm vistas de fora. Ninguém está a corrigir estes anfitriões, e os componentes por baixo do pacote afastaram-se muito daquilo que ainda responde neles.

A deteção é inferencial e a contagem é um limite inferior. Um servidor identifica-se como o pacote apenas quando uma página por omissão, um cabeçalho de assinatura ou uma das ferramentas distribuídas fica acessível, por isso uma instalação arrumada é indistinguível de uma pilha montada à mão com os mesmos componentes. Os sistemas escondidos com mais cuidado são exatamente os que faltam na lista.

As equipas de superfície de ataque, os fornecedores de alojamento que auditam o seu próprio parque e os investigadores que medem quanta infraestrutura sem manutenção continua online precisam todos do mesmo objeto, que é a lista de domínios em si e não um veredicto sobre um anfitrião. Verificar um endereço isolado informa sobre esse endereço. Um conjunto para descarregar, cruzado com dados de registador, de alojamento e de país, revela que fornecedores carregam o grosso desta exposição, se ela se concentra em domínios de país específicos ou em anfitriões partilhados específicos, e como a população muda entre exportações, e é essa a única medição que resolve uma discussão sobre se o problema está a encolher ou apenas a mudar-se para outro sítio.