| 触发方式 | 非法参数、超长输入、异常类型、边界值 |
|---|---|
| 观察 | 堆栈、SQL 片段、绝对路径、框架版本 |
| 修复 | 统一错误页 + 服务端日志记录 |
触发思路
触发思路
类型错误：数字参数传字母
边界：超大数、负数、空值
结构：数组/对象替换字符串
记录每类输入的返回特征（状态码 + 页面类型）报错信息本身可能直接暴露配置文件路径与数据库结构，是提权链路的常见跳板。
报错页面信息泄露检查
触发异常观察页面是否暴露堆栈、SQL、框架与路径信息；生产环境应返回统一错误页并记录到服务端日志。
易错点
- 只看状态码不看响应体内容
- 触发报错时未评估对业务日志与告警的噪音影响
数据来源与参考
- OWASP WSTG WSTG-ERRH-01
- CWE-209（Error Message Info Leak）