System Information Leak: Incomplete Servlet Error Handling

如果 Servlet 沒有捕捉到所有異常，它可能會洩漏除錯資訊，而協助攻擊者訂定攻擊計畫。

當一個 Servlet 拋出一個異常時，Servlet 容器回傳給使用者的預設錯誤回應通常包含除錯資訊。這些資訊對於攻擊者來說是很有價值的。例如，堆疊追蹤可能顯示下列資訊給攻擊者：SQL 查詢語句、使用的程式庫類型、應用程式容器的版本。攻擊者可以從這些資訊中找到這些元件的弱點。

範例 1：在以下的方法中，DNS 查找失敗會導致 Servlet 拋出一個異常。

protected void doPost (HttpServletRequest req,
                    HttpServletResponse res)
              throws IOException {
    String ip = req.getRemoteAddr();
    InetAddress addr = InetAddress.getByName(ip);
    ...
    out.println("hello " + addr.getHostName());
}

範例 2：如果 name 參數不是要求的一部分，那麼以下的方法會拋出一個 NullPointerException。

protected void doPost (HttpServletRequest req,
                    HttpServletResponse res)
              throws IOException {
    String name = getParameter("name");
    ...
    out.println("hello " + name.trim());
}