2019-12-30还有旁路信息泄漏。以上面的用户登录场景为例，对于无效用户和有效用户的登录请求，如果服务端处理耗时不一样也会泄漏信息。又比如padding oracle攻击，只要服务端返回的信息可以区分解密成功与否，就可以在没有密钥的情况下经过有限次尝试枚举出解密后的信息作者回复: 你好，感谢你的留言。旁路泄露确实也比较重要。其实间接的泄露方式还有很多，比如robots.txt里面的url路径等。这些在平常都很难意识到问题的存在，更多的是吃一堑长一智～
2
2020-01-07网上看了看，内容真不少呀！列举几个：
1.Apache样例文件泄露
apache 的一些样例文件没有删除，可能存在cookie、session伪造，进行后台登录操作。
2.字段加[] 造成信息泄露
数据包的所有参数都可能存在，把参数变为数组即可报错出网站绝对路径。
3.修改请求方法
将get方法改为put 程序就报错，泄漏网站绝对路径。
4.tomcat
tomcat 后缀改成大写，会显示源码，只要把jsp文件后缀名改为大写就可以
5. war文件信息泄露
war文件信息泄露是指部署在war文件由于配置不当，导致其整个报文件以及其他重要的配置文件信息泄露，例如可以直接浏览目录，获取其下面的配置文件：WEB-INF/jdbc.properties,jdbc.properties为数据库链接配置文件。包含数据库链接的账户和密码等重要信息。
学了这几节课下来，知道开发过程中处处隐藏杀机啊。请教老师，作为公司管理人员和开发人员，除了制定安全制度，提高安全意识外，学习本门课外，平时如何高效地获取相关安全信息呢？展开作者回复: 对个人而言，可以关注一些安全论坛，了解最新的技术。对公司而言，一般都会建立安全响应中心，用来收集外界的情报。总之，这是这是一个长期发展运营的过程。
2020-01-02旁路一般是小网站吧作者回复: 不限大小，任何网站都有可能发生。
1
2019-12-30直接泄漏没有，不过间接泄漏估计不好说，注释和抛错做过了居然会引发间接泄漏的风险。看来后面要好好检查调整相关的策略了。谢谢老师的分享。作者回复: 错误信息一般还是会暴露比较多的代码信息的，最好能做统一处理，返回一个静态的错误页面，或者错误码，都行。
2019-12-30想到了著名的B站事件，源代码上传到github，感觉这个很大一部分原因是工程师对github理解的不到位，以为是个人仓库，别人看不到，这块应该加强培训，在入职的时候就应该培训，尤其对于年轻的工程师，安全意识太薄弱。作者回复: 其实类似的事件很多，大小公司都有。毕竟这么多工程师，很难保证哪个人不注意就传上去了。因此，除了加强培训管理，扫描也是很必要的。
2019-12-30每个目录没有默认页面的都创建空index.php，禁止返回错误信息给客户，模糊返回校验错误提示信息