锁定：使用修订版OWASP Top Ten保证Web应用程序的安全——第六部分

锁定：使用修订版OWASP Top Ten保证Web应用程序的安全——第一部分

锁定：使用修订版OWASP Top Ten保证Web应用程序的安全——第二部分

锁定：使用修订版OWASP Top Ten保证Web应用程序的安全——第三部分

锁定：使用修订版OWASP Top Ten保证Web应用程序安全——第四部分

锁定：使用修订版OWASP Top Ten保证Web应用程序的安全——第五部分

错误处理不当如何造成数据泄露

如果应用程序或底层基础设施中出现一个错误时向用户提供过多信息，就会造成错误处理不当问题。下表列出一些用户或攻击者处理这个问题常用的方法：

• 查明堆栈跟踪——堆栈跟踪为程序员提供详尽的信息，说明错误发生前调用了哪些程序或函数。相同的信息还可为计算机罪犯提供函数、对象名称，以及其它设计针对报告错误的系统的攻击的相关情况。
• 提供系统名称——了解目标网络是计划实施攻击的第一个步骤。这个过程会得到一组系统（按名称）、IP地址、位置和网络服务配置等。允许错误消息返回部分或全部这种信息使得攻击者更容易发生攻击。
• 确认某个文件——如果未获得授权的用户企图访问某个文件，返回的错误消息会告诉她没有取得访问那个资源的授权。如果她是一名试图定位某个包含敏感信息的文件的攻击者，错误消息就为她提供了肯定信息。
• 登录失败后，通知用户是否用户ID或密码出错——登录失败可能是由于ID或密码错误造成的。这为一个对关键资产发动蛮力攻击的攻击者提供重要信息。
• 揭示数据库、字段和表名称——在计划实施SQL注入之类的攻击时，与数据库有关的信息十分重要。
• 与入侵防御基础设施有关的信息——任何设备或系统都可以提供详细的错误消息。它们甚至可能提供避开IDS和IPS系统所需的信息。

降低风险

减轻由于不当的错误消息造成的风险并不是太困难。你必须保持警惕，确保堵塞住泄露网络信息的漏洞——不管是新应用程序还是现有应用程序中的漏洞。以下是一些建议：

• 找出并处理所有应用程序错误。决不要认为应用程序中的默认错误消息能够为企业中的敏感信息提供足够的保护。这包括自定义Web服务器错误页面。
• 用户屏幕上显示的错误消息应包含对支持或恢复有用的信息，而不提供环境信息。例如，你可以提供如图A所示的消息。错误代码500-25仅对支持和编程团队有用，但对用户或潜在的攻击者无益。
  图A
  
  错误消息
• 编写必要的详细错误信息，用于错误调试，并保存在一个安全的位置。安全位置包括应用程序事件日志或其它一些限制访问的安全文件。
• OWASP建立使用WebScarab这类工具强制应用程序生成错误。这是一种确保采用“最大努力”方法，确定任何有助于攻破目标系统或网络的错误的方法。
• 每个应用程序都应包含一个标准的错误处理框架来处理异常。每次开发一个应用程序时，开发者不必重新开发处理异常的程序。另外，以上框架应作为一个指导，为开发团队隐藏敏感系统或网络信息提供帮助。

总结

为保证用户和程序员收到尽快恢复服务所需的信息，提供有用的错误消息十分必要。只是确保在这个过程中不会为攻击者提供帮助。

OWASP网站上的一篇重要文章描述了一个虚构的黑客如何利用一条单独的错误消息获得大量与目标系统有关的信息。我强烈建议你阅读这篇简短的叙述。它能够让你清楚地意识到提供详尽的错误消息包含的危险。

责任编辑：德东

查看本文国际来源