* 此漏洞利用的重點在于應(yīng)用程序未能正確處理自身發(fā)生的錯誤
* 此漏洞的技術(shù)重點在于某些應(yīng)用程序出錯時，會把錯誤信息反饋到用戶端，這些錯誤信息通常可用于調(diào)試的目的
* 此漏洞的方法重點在于從錯誤反饋信息中獲取有用的信息，從而加以利用，突破網(wǎng)站安全
當(dāng)Web應(yīng)用程序發(fā)生錯誤時，如果處理不得當(dāng)，可能會把相關(guān)的錯誤信息反饋至客戶瀏覽器。
這種情況更多見于PHP+MySQL的Web應(yīng)用，一些程序人員沒有正確的做異常處理，當(dāng)發(fā)生錯誤里，系統(tǒng)向瀏覽器端返回了本來是用于調(diào)試目的的相關(guān)信息。這些信息往往可能含有重要的安全信息。
例如：某個網(wǎng)站的MySQL停止了運行，而這時用戶訪問此網(wǎng)站時，發(fā)現(xiàn)網(wǎng)頁提示如下信息：
MySQL Error:Lost connection to MySQL server during query
從這個回饋來看，用戶請求的頁所使用的數(shù)據(jù)庫是MySQL ! 這無疑暴露是安全人員所不希望看到的。
高明的入侵者，會盡可能的使其在頁面瀏覽或提交時，使用不正當(dāng)?shù)臄?shù)據(jù)或方法，以此期望頁面產(chǎn)生錯誤回饋，從而利用這些信息完成入侵。
從服務(wù)器角度，關(guān)閉調(diào)試信息回饋功能，并且善用異常處理功能，可以盡可能避免此類安全漏洞。