java - 通过 checkmarx 中的错误消息暴露信息

Question

try {
    //code
} catch (ParseException e) {
    e.printStackTrace();
} catch (MalformedURLException e) {
    LOG.error("Error in finding Resource Bundle", e);
}

我是这样写的，但是当我使用 Checkmarx 代码分析工具时，我收到“通过错误消息暴露信息”。如何解决以及何时解决。

Answer 1

什么是通过错误消息暴露信息？

The software generates an error message that includes sensitive information about its environment, users, or associated data.

The sensitive information may be valuable information on its own (such as a password), or it may be useful for launching other, more deadly attacks. If an attack fails, an attacker may use error information provided by the server to launch another more focused attack.

(引自 CWE-209: Information Exposure Through an Error Message )

您没有指定，但我假设 Checkmarx 工具将 printStackTrace() 指向有问题的流程终点。

通过使用此方法，异常(包括其整个堆栈跟踪)将被打印到标准错误流。这可能包括本身可能敏感的信息(如用户名或密码)或至少公开一些环境数据。如果此数据暴露给用户，则可能会被滥用或恶意用于更有效的攻击。<​​/p>

还有许多其他原因不以这种方式使用 printStackTrace()，如下所示:Why is exception.printStackTrace() considered bad practice?