前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >Laravel 5 报错信息存在严重漏洞

Laravel 5 报错信息存在严重漏洞

作者头像
洛米唯熊
发布2021-08-24 11:38:46
2K0
发布2021-08-24 11:38:46
举报
文章被收录于专栏:洛米唯熊洛米唯熊洛米唯熊

0x00:简介

Laravel是一套简洁、优雅的PHPweb开发程序框架,并且具有简洁的表达,是一个比较容易理解且强大的,它提供了强大的工具用以开发大型网站的应用。

这么说吧,家人们 我又来了!

不求刷火箭

多转发我的文章就是给我最大的火箭!

0x01:过程

很多开发人员在测试网站服务的时候,一般会去安装Whoops样式错误处理器。方便开发人员边调试边查找错误的信息。

一般是在app/Exceptions/Handler.php, 在render()方法中添加一个Whoops样式的处理情况,像下面这样

/**
     * Render an exception into an HTTP response.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Exception  $e
     * @return \Illuminate\Http\Response
     */
    public function render($request, Exception $e)
{
        if ($this->isHttpException($e))
        {
            return $this->renderHttpException($e);
        }
 
        if (config('app.debug'))
        {
            return $this->renderExceptionWithWhoops($e);
        }
 
        return parent::render($request, $e);
    }
 
    /**
     * Render an exception using Whoops.
     * 
     * @param  \Exception $e
     * @return \Illuminate\Http\Response
     */
    protected function renderExceptionWithWhoops(Exception $e)
{
        $whoops = new \Whoops\Run;
        $whoops->pushHandler(new \Whoops\Handler\PrettyPageHandler());
 
        return new \Illuminate\Http\Response(
            $whoops->handleException($e),
            $e->getStatusCode(),
            $e->getHeaders()
        );
    }

使用Whoops错误库来显示\Whoops\Handler\PrettyPageHandler()中

直接显示在前端就会导致任意访问者就能看到错误信息

如果报错信息存在敏感信息

恶意着就会进行下一步的利用

例如

老规矩

Navicat走起

来看看有多少铁憨憨

但是不排除蜜罐的情况

一键排除蜜罐

7000+???

但不是每个Laravel开发都是铁憨憨

有得则是显示不算敏感的信息

有的则是

别问 为什么是127.0.0.1

问就是

爱过、保大、救我妈、我妈会游泳

0x02:修复建议

$run->pushHandler(function($exception, $inspector, $run) {
    var_dump($exception->getMessage());
    return Handler::DONE;
});

替换var_dump($exception-> getMessage());使用自定义代码保存到数据库或文件日志中,从日志或者数据中来看报错信息

本文参与 腾讯云自媒体分享计划,分享自微信公众号。
原始发表:2021-06-18,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 洛米唯熊 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体分享计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档