php - エラーメッセージとセキュリティ

Question

実稼働サーバーのphpでエラーメッセージを表示することはセキュリティ上のリスクであることを読みました。このようなエラーメッセージの例と、それがどのように脆弱になる可能性があるかを示していただけますか？

Answer 1

これは、error_message に次のような潜在的に賢明な情報が含まれている可能性があるためです。

1. サーバー上のパスに関する情報
2. データベース構造に関する情報 (テーブル名など)
3. 使用しているソフトウェアとその内部動作に関する情報 (使用している CMS ソフトウェア、バージョンなど...)
4. 変数名
5. 使用している潜在的に危険な PHP 拡張機能に関する情報

(延長予定)

要するに、リモート ユーザーが必要のない情報を取得する可能性があります。この情報は、攻撃にとって興味深い可能性があります。しかし、その可能性についてはもっとです。

言い換えれば、エラー メッセージの表示を無効にすると、潜在的なセキュリティ リスクが修正されます。