تست مدیریت نادرست خطاها

مدیریت خطا چیست؟

مدیریت خطا (Error Handling) فرآیند پیش‌بینی، تشخیص و پاسخ به خطاهایی است که در حین اجرای برنامه رخ می‌دهند. مدیریت نادرست خطاها یکی از رایج‌ترین آسیب‌پذیری‌های امنیتی است که می‌تواند اطلاعات حساس سیستم را به مهاجمان فاش کند.

چرا مدیریت خطا مهم است؟

پیام‌های خطای verbose می‌توانند اطلاعات حساسی درباره سیستم فاش کنند. مهاجمان از این اطلاعات برای شناسایی آسیب‌پذیری‌ها و طراحی حملات هدفمند استفاده می‌کنند.

اطلاعاتی که از خطاها فاش می‌شوند

روش‌شناسی تست

مرحله ۱: شناسایی نقاط ورودی خطا

تمام نقاطی که می‌توانند خطا تولید کنند را شناسایی کنید: فرم‌های ورودی، URL‌ها، API‌ها، فایل‌های آپلود و درخواست‌های HTTP.

مرحله ۲: تولید خطا

با ارسال ورودی‌های نامعتبر، درخواست‌های نادرست و دسترسی به منابع ناموجود، خطاها را تولید کنید و پیام‌های بازگشتی را بررسی کنید.

1# خطای 404 - صفحه ناموجود
2curl -v https://target.com/nonexistent-page
3
4# خطای 500 - ورودی نامعتبر
5curl -X POST https://target.com/api/login -d 'username=admin&password=\'\''
6
7# خطای SQL Injection
8https://target.com/search?q=' OR 1=1--
9
10# خطای پردازش فایل
11https://target.com/download?file=../../../etc/passwd

مرحله ۳: تحلیل پیام‌های خطا

• بررسی اطلاعات فاش‌شده در پیام خطا
• شناسایی نسخه نرم‌افزار و فریمورک
• بررسی مسیر فایل‌ها و ساختار دایرکتوری
• تحلیل اطلاعات پایگاه داده
• بررسی stack trace و اطلاعات کد منبع

مرحله ۴: تست صفحات خطای سفارشی

بررسی کنید که آیا برنامه از صفحات خطای سفارشی استفاده می‌کند یا صفحات پیش‌فر�� سرور را نمایش می‌دهد. صفحات خطای پیش‌فرض معمولاً اطلاعات زیادی فاش می‌کنند.

انواع خطاهای رایج

خطاهای HTTP

• 400 Bad Request: درخواست نامعتبر
• 401 Unauthorized: عدم احراز هویت
• 403 Forbidden: دسترسی ممنوع
• 404 Not Found: صفحه یافت نشد
• 500 Internal Server Error: خطای داخلی سرور
• 503 Service Unavailable: سرویس در دسترس نیست

خطاهای برنامه

• خطاهای پایگاه داده: SQL errors، connection failures
• خطاهای فایل: permission denied، file not found
• خطاهای شبکه: timeout، connection refused
• خطاهای احراز هویت: invalid credentials، session expired
• خطاهای اعتبارسنجی: invalid input، missing fields

تأثیر

نشت اطلاعات از طریق خطاها می‌تواند منجر به شناسایی آسیب‌پذیری‌های سیستم، دسترسی غیرمجاز به اطلاعات، طراحی حملات هدفمند و بهره‌برداری از نقاط ضعف سیستم شود.

راه‌حل

• از صفحات خطای سفارشی برای محیط تولید استفاده کنید
• پیام‌های خطای عمومی و امن به کاربر نمایش دهید
• جزئیات خطا را فقط در لاگ‌های سرور ذخیره کنید
• از try-catch برای مدیریت exception‌ها استفاده کنید
• حالت Debug را در محیط تولید غیرفعال کنید
• اطلاعات نسخه نرم‌افزار را مخفی کنید
• لاگ‌های خطا را به‌صورت امن نگهداری کنید

1try {
2  const result = await db.query('SELECT * FROM users WHERE id = ?', [userId]);
3  res.json(result);
4} catch (error) {
5  // لاگ کردن جزئیات در سرور
6  logger.error('Database error:', {
7    message: error.message,
8    stack: error.stack,
9    query: 'SELECT * FROM users',
10    userId: userId
11  });
12  
13  // نمایش پیام عمومی به کاربر
14  res.status(500).json({
15    error: 'خطایی رخ داد. لطفاً دوباره تلاش کنید.'
16  });
17}