ColdFusion 2018 - 防止 Tomcat 错误页面答案

【问题标题】：ColdFusion 2018 - prevent Tomcat error pagesColdFusion 2018 - 防止 Tomcat 错误页面
【发布时间】：2021-10-14 04:01:06
【问题描述】：

我收到了一个针对我们的 IIS 10、ColdFusion 2018 服务器的漏洞，如下所示：

漏洞描述：
404 服务器响应中的服务器暴露技术版本。

如果你尝试访问一个不存在的页面，服务器会正常响应 404 页面。但是如果你发送一个无效的路径（理论上它会响应 400 - 一个错误的响应），服务器会响应相同的版本 404 页面但 Tomcat ISAPI 重定向器版本。

此服务器 -
不在服务器横幅中显示版本
不要在 404 响应中显示版本
响应标头中没有 BigIP 负载平衡器

更新：我有一些进一步的信息。 URL 格式为：https://xxx.xxxx.com/..;/

这似乎绕过了 IIS 404，而是从 Coldfusion 提供了 Tomcat 404。

我的问题是，如何更改 ColdFusion 2018 Tomcat 中的 Tomcat 错误页面？谢谢。

【问题讨论】：

标签： tomcat coldfusion

【解决方案1】：

IIS 应该在您站点的根目录中放置了一个配置文件：web.config。我总是确保将其签入源代码管理。添加<httpErrors> 节点并输入404.cfm 文件的路径。这个位于站点的根目录（您可以随意命名）。

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <system.webServer>
        <httpErrors errorMode="Custom">
            <remove statusCode="404" subStatusCode="-1" />
            <error statusCode="404" path="/404.cfm" responseMode="ExecuteURL" />
        </httpErrors>
    </system.webServer>
</configuration>

【讨论】：

谢谢。在 IIS 管理员网站上的“404”的“错误页面”中，它设置为“将静态文件中的内容插入错误响应”，指向默认页面。当我转到网站上不存在的随机 URL 时，我得到默认的 IIS 404 错误页面，但由于某种原因，在某种扫描中，他们看到了来自coldfusion的tomcat错误页面。我不知道这是从哪里来的，所以我想我可能需要在 tomcat 方面解决这个问题。
他们没有一套精确的步骤来重新创建？我已经处理了来自 3rd 方测试人员的数十次这样的安全扫描，他们通常会对他们如何得到错误进行全面分解。现在，为什么会出现错误通常是一个独特的地狱。
不幸的是，没有。我们得到的只是错误的描述。我要求提供更多细节，但到目前为止，还没有成功。
见上文。我添加了要重新创建的 URL 格式。