에러페이지적용미흡(Inadequate Error Handling)

1

에러 유도 시 에러 페이지 내 불필요한 정보(서버 버전 정보, 시스템 절대 경로, 스택 트레이스 등)가 노출되는지 확인

1
2
3
4
5
6
7
8
9

# 응답 헤더 내 서버 버전 정보 제거
ServerTokens Prod
ServerSignature Off

# 사용자 정의 에러 페이지
ErrorDocument 404 /errorpages/404.html
ErrorDocument 500 /errorpages/500.html
ErrorDocument 403 /errorpages/403.html
ErrorDocument 503 /errorpages/503.html

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

http {
    # 응답 헤더 내 서버 버전 정보 제거
    server_tokens off;

    # 에러 페이지 매핑
    error_page 404 /custom_404.html;
    error_page 500 502 503 504 /custom_50x.html;

    location = /custom_404.html {
        root /var/www/html;
        internal;
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

<!-- 응답 헤더 내 서버 버전 정보 제거 -->
<Connector port="8080" protocol="HTTP/1.1"
           connectionTimeout="20000"
           redirectPort="8443"
           server=" " />

<!-- 개발용 리포트 비활성화 -->
<Valve className="org.apache.catalina.valves.ErrorReportValve"
       showReport="false"
       showServerInfo="false" />

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12

<error-page>
    <error-code>404</error-code>
    <location>/errors/404</location>
</error-page>
<error-page>
    <error-code>500</error-code>
    <location>/errors/500</location>
</error-page>
<error-page>
    <exception-type>java.lang.Exception</exception-type>
    <location>/errors/500</location>
</error-page>

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13

@ControllerAdvice
public class GlobalExceptionHandler {

    @ExceptionHandler(Exception.class)
    public String handleError(Exception ex, Model model) {
        // 로그에는 상세 에러 기록
        logger.error("Error occurred", ex);

        // 사용자에게는 일반적인 메시지만 표시
        model.addAttribute("errorMessage", "서버 오류가 발생했습니다.");
        return "error/500";
    }
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16

// 개발 환경에서만 상세 에러 표시
if (defined('DEVELOPMENT_MODE') && DEVELOPMENT_MODE) {
    ini_set('display_errors', 1);
    error_reporting(E_ALL);
} else {
    ini_set('display_errors', 0);
    error_reporting(0);
}

// 사용자 정의 에러 핸들러
function customError($errno, $errstr) {
    error_log("Error: [$errno] $errstr");
    echo "서버 오류가 발생했습니다. 관리자에게 문의해주세요.";
    return true;
}
set_error_handler("customError");