二、因設(shè)置或設(shè)計(jì)上的缺陷引發(fā)的安全漏洞
因設(shè)置或設(shè)計(jì)上的缺陷引發(fā)的安全漏洞是指，錯(cuò)誤設(shè)置Web服務(wù)器，或由設(shè)計(jì)上的一些問(wèn)題引發(fā)的安全漏洞。
1 強(qiáng)制瀏覽
強(qiáng)制瀏覽（Forced Browsing）安全漏洞是指，從安置在Web服務(wù)器的公開目錄下的文件中，瀏覽那些贗本非自愿公開的文件。
強(qiáng)制瀏覽有可能會(huì)造成以下一些影響。
泄露顧客的個(gè)人信息泄露原本需要具有訪問(wèn)權(quán)限的內(nèi)容-
泄露未開放的文件對(duì)那些原本不愿公開的文件，為保證安全會(huì)隱藏URL。可一旦知道了那些URL，也就意味著可瀏覽URL對(duì)應(yīng)的文件。直接顯示容易推測(cè)的文件名或文件目錄索引時(shí)，通過(guò)某種方法可能使URL產(chǎn)生泄露。
2 不正確的錯(cuò)誤消息處理
不正確的錯(cuò)誤消息處理（Error Handling Vunerability）的安全漏洞是指，Web應(yīng)用的錯(cuò)誤信息內(nèi)包含對(duì)攻擊者有用的信息。與Web應(yīng)用有關(guān)的主要錯(cuò)誤信息有：
Web應(yīng)用拋出錯(cuò)誤消息數(shù)據(jù)庫(kù)等系統(tǒng)拋出錯(cuò)誤消息
Web應(yīng)用不必在用戶的瀏覽畫面上展示詳細(xì)的錯(cuò)誤消息。對(duì)攻擊者來(lái)說(shuō)，詳細(xì)的錯(cuò)誤消息可能會(huì)給他們下一次攻擊提示。
2.1 不正確的錯(cuò)誤消息處理案例
系統(tǒng)提示：‘郵件地址未注冊(cè)’、‘密碼錯(cuò)誤’、‘賬號(hào)錯(cuò)誤’等提示錯(cuò)誤類消息。SQL相關(guān)錯(cuò)誤返回請(qǐng)求體中展示
3 開放重定向
開放重定向（Open Redirect）是一種對(duì)指定的任意URL作為重定向跳轉(zhuǎn)的功能。而與此功能相關(guān)聯(lián)的安全漏洞是指，假如指定的重定向URL到某個(gè)具有惡意Web網(wǎng)站，那么用戶就會(huì)被誘導(dǎo)到那個(gè)Web網(wǎng)站。
3.1 開放重定向攻擊案例
例如有網(wǎng)站的重定向url為：
http://example.com/?redirect=http://www.tricorder.com
攻擊者把重定向的參數(shù)修改成設(shè)好陷阱的Web網(wǎng)站：
http://example.com/?redirect=http://hackr.com
開放重定向功能，很有可能被攻擊者作為釣魚的跳板。
