配置tomcat404、500错误页面

漏洞描述

当服务器无法响应用户请求，报错404时，浏览器会显示为tomcat 异常的默认页面，页面上面包含请求状态码、错误描述、类型等信息。返回5xx状态码的时候，如果未配置返回5xx页面，那么极有可能被攻击者利用其中的一些诸如struts2远程命令执行等漏洞，通过报错回显的方式获取目标的数据

解决方案

配置404、500状态的返回页面及路径

步骤

以配置404举例

访问http://192.168.88.138:18081，报404错误，返回页面为:

编辑web.xml的配置文件：

vim /tomcat/18081/conf/web.xml

在<web-app>的<error-page>项下，配置如下内容：

<error-page>

     <error-code>404</error-code>

     <location>/error/404.htm</location>

</error-page>

编写404状态的返回页面

vim /tomcat/18081/webapps/ROOT/error/404.htm

404 not found

重启tomcat

/tomcat/18081/bin/shutdown.sh

/tomcat/18080/bin/startup.sh

再次访问http://192.168.88.138:18081，返回页面为：

配置500状态码的方法亦同