服务端异常信息

漏洞描述

        如果攻击者通过伪造包含非应用程序预期的参数或参数值的请求，来探测应用程序，那么应用程序可能会进入易受攻击的未定义状态。攻击者可以从应用程序对该请求的响应中获取有用的信息（敏感信息），且可利用该信息，找出应用程序的脆弱点。

漏洞原因

        服务器未自定义统一错误页面使得异常信息抛出，导致信息泄露。

挖掘方法

       1. 通过web扫描工具对网站扫描可得到结果。
       2. 或者通过手工，去尝试打开一些不存在的网站路径，或者文件，以及在url中输入一些敏感的字符，看其页面是否会抛出异常或者报错，导致错误消息中包含一些网站架构，版本，等敏感信息。如下所示

漏洞修复

服务端设置统一报错信息，屏蔽异常抛出的敏感信息。