ThinkPHP错误信息泄露
- 发现时间：
- 2016-09-01
- 漏洞类型：
- 信息泄露
- 所属建站程序：
- ThinkPHP
- 所属服务器类型：
- 通用
- 所属编程语言：
- PHP
- 描述：
- 目标页面ThinkPHP错误信息泄露。
ThinkPHP是一个快速、兼容而且简单的轻量级国产PHP开发框架。目标网站程序开发过程中存在没有处理的异常，异常信息会默认通过web容器暴露给用户，而这些异常信息包含了应用所使用的组件名称等攻击者可利用的信息，导致敏感信息泄露。
验证方式：
打开目标页面验证是否存在ThinkPHP错误页面。
示例：
- 危害：
- 攻击者可通过构造并发送特定的攻击向量造成ThinkPHP程序出错，可能收集到绝对路径、SQL语句、部分源代码等敏感信息并加以利用进行攻击。
- 解决方案：
- 1.设置关闭错误信息的显示并设置统一的错误提示信息
示例：
‘SHOW_ERROR_MSG’ =>false,
‘ERROR_MESSAGE’ =>’发生错误！’
设置之后，所有的异常页面只会显示“发生错误！”这样的提示信息，但是日志文件中仍然可以查看具体的错误信息。
2.自定义错误提示页面
示例：
