web渗透--45--报错信息测试

武天旭

已于 2023-07-17 11:01:40 修改

阅读量1.4k

点赞数 4

CC 4.0 BY-SA版权

分类专栏： web渗透文章标签： web安全渗透测试 OWASP安全测试

于 2018-09-22 10:52:44 首次发布

本文链接：https://blog.youkuaiyun.com/wutianxu123/article/details/82810665

web渗透专栏收录该内容

70 篇文章 ¥9.90 ¥99.00

订阅专栏

超级会员免费看

本文介绍了在Web渗透测试中如何利用应用或服务器的报错信息进行漏洞探测。报错信息可能揭示数据库、技术组件等敏感信息，提供包括400 Bad Request、405 Method Not Allowed等错误代码的测试案例，并提出了通过自定义错误信息来修复安全问题的方案。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1、漏洞描述

通常在Web应用的渗透测试中，我们会遇到很多来自应用或web服务器的报错信息。当使用一些用工具特殊处理过或人工编写的请求时，可能会触发这些错误显示。这样的报错信息对于渗透测试人员来说非常有利，因为其中包含了大量有关数据库、bug或其他与web应用直接关联的技术组建相关的技术信息。

2、测试方法

来看下面一些测试例子：

测试: 400 Bad Request

telnet <host target> 80
GET / HTTP/1.1
<CRLF><CRLF>

结果:

HTTP/1.1 400 Bad Request
Date: Fri, 06 Dec 2019 23:57:53 GMT
Server: Apache/2.2.22 (Ubuntu) PHP/5.3.10-1ubuntu3.9 with Suhosin-Patch
Vary: Accept-Encoding
Content-Length: 301
Connection: close
Content-Type: text/html; charset=iso-8859-1
...
<title>400 Bad Request</title>
...
<address>Apache/2.2.22 (Ubuntu) PHP/5.3.10-1ubuntu3.9 wit

了解本专栏