System Information Leak: Incomplete Servlet Error Handling

如果 Servlet 未捕获到所有异常，则可能会泄漏调试信息，从而有利于攻击者进行攻击。

当 Servlet 抛出一个异常时，Servlet 容器回传给用户的默认错误响应通常会包含调试信息。这些信息对于攻击者来说是十分有用的。例如，一个堆栈跟踪可能会给攻击者显示 SQL 查询字串、即使用的数据库类型以及应用程序容器的版本。攻击者可以从这些信息中找到这些组件中存在的漏洞。

例 1：在以下方法中，DNS 解析失败会导致 Servlet 抛出一个异常。

protected void doPost (HttpServletRequest req,
                    HttpServletResponse res)
              throws IOException {
    String ip = req.getRemoteAddr();
    InetAddress addr = InetAddress.getByName(ip);
    ...
    out.println("hello " + addr.getHostName());
}

例 2：如果“name”参数并未包含在请求中，那么以下方法会抛出一个 NullPointerException 异常。

protected void doPost (HttpServletRequest req,
                    HttpServletResponse res)
              throws IOException {
    String name = getParameter("name");
    ...
    out.println("hello " + name.trim());
}