Cybersec Wednesday｜甚麼是「伺服器錯誤訊息洩露」?
大家是否曾經訪問過網站並看到螢幕上彈出令人困惑的錯誤訊息？ 500 Internal Server Error(內部伺服器錯誤）或404 File Not Found(找不到檔案）等訊息是來自網站的典型錯誤回應。雖然這些訊息可以幫助網站管理員識別問題，但如果處理不當，它們也可能無意中洩露敏感資訊。
「伺服器錯誤訊息外洩」，是指當網站上的技術錯誤顯示超出必要的詳細資訊時，可能會洩露伺服器配置、資料夾結構或資料庫詳細資訊等私人資料。而不法分子就可以利用這種額外的可見性來發動駭客攻擊。
隨著互聯網的發展，不同企業越來越依賴網站和 Web 應用程序發展業務，了解這種風險並採取一些基本的預防措施非常重要。以下是一些錦囊可以幫助大家：
- 網站披露了甚麼？錯誤訊息中絕不能洩漏檔案路徑、資料庫表、伺服器軟體版本或其他技術配置。太多的細節讓駭客更容易得逞。
- 應用自訂的回覆頁面。最好是像「500 內部伺服器錯誤」這樣的通用錯誤訊息，無需透露關鍵的後端詳細資訊。
- 限制存取，確保管理員之外無法存取錯誤頁面，可以透過使用 HTTP 驗證或防火牆規則來阻止未經授權的存取。
- 保持軟體更新。過時的伺服器軟體通常具有可從錯誤訊息中利用的已知漏洞，定期套用安全更新。
- 使用 Web 應用程式防火牆。這些過濾請求並隱藏最終用戶的錯誤回應，僅公開一般異常，防火牆能提供額外的隱私層。
基本的配置調整可以保護企業的數位資產免受因粗心錯誤訊息而導致的資料外洩或攻擊，有助於企業保護網站安全及完整性，避免不必要的風險。
網絡安全在很多方面還需要注意，如有任何疑問歡迎加入我們的CybersecInfohub計劃，讓行業裏的網絡安全專家為你解決，如果你懷疑自己或公司的電腦被駭或有可疑的行為，亦請盡快聯絡網絡安全專家求助。
關於 Cybersec Wednesday
每逢星期三，HKIRC網絡安全團隊都會挑選一個網絡安全主題，以文章、貼士或最佳實踐的形式與大家分享。 請留意每週三的更新，定時掌握最新鮮的網絡安全資訊。
