에러 페이지 정보 노출

점검 목적

 

- 사용자 정의 에러 페이지를 설정하여 기본 서버 에러 페이지 내 불필요한 정보(서버 버전 정보, 시스템 
절대 경로, 스택 트레이스 등)의 제공을 차단하기 위함

 

보안 위협

 

- 에러 페이지 내 서버 및 응용 시스템의 상세한 정보를 포함한 경우, 시스템 구조와 스택 트레이스, 데이터베이스 쿼리 등 민감한 정보를 노출시켜 공격 벡터로 악용할 가능성 존재

 

판단 기준

 

- 양호 : 에러 발생 시 자체 정의 에러 페이지를 출력하여 과도한 정보가 노출되지 않는 경우

-취약 : 에러 발생 시 기본 에러 페이지가 출력되며, 해당 페이지에 불필요한 정보(서버 버전 정보, 시스템 
경로, 스택 트레이스 등)가 노출되는 경우

 

조치 방법

 

- 웹 애플리케이션 서버 내 사용자 정의 에러 페이지를 적용함으로써 불필요한 정보 노출을 방지

 

 

점검 방법

 

- Step 1) 에러 유도 시 에러 페이지 내 불필요한 정보(서버 버전 정보, 시스템 절대 경로, 스택 트레이스 등)가 노
출되는지 확인

 

 

 

조치 방법 (서버별)

 

Apache

 

- apache2.conf 또는 httpd.conf 파일 내 아래 지시자 추가 후 서버 재기동

 

Tomcat

 

- server.xml 파일 내 아래 지시자 추가 후 서버 재기동

 

 

Nginx

 

- nginx.conf 파일 내 아래 지시자 추가 후 서버 재기동

 

 

 

IIS (6.0 이하)

 

- Microsoft사의 URLScan 3.1 도구 지원 종료로 인한 서버 버전 제거 제한

 

에러 페이지

 

- 인터넷 정보 서비스 → 등록 정보 → 사용자 정의 오류 → 등록 정보 편집 → 별도 에러 페이지 지정

 

 

IIS (7.0 이상)

 

- IIS 관리자 → 오류 페이지 → 기능 설정 편집 → 사용자 지정 오류 페이지