에러처리 235P ~

정상적인 에러는 사전에 정의된 예외사항이 특정조건에서 발생하는 에러이며

비정상적인 에러는 사전에 정의되지 않은 상황에서 발생하는 에러이다.

개발자는 이 둘을 대비한 안전한 에러처리 루틴을 사전에 정의하고 프로그래밍 함으로써 에러처리 과정 중에 발생할 수 있는 보안 위협을 미연에 방지할 수 있다.

에러를 불충분하게 처리하거나 에러 정보에 과도하게 많은 정보를 포함하여 이를 공격자가 악용할 수 있을 때 보안취약점이 발생할 수 있다.

오류 메세지를 통한 정보 노출

민감한 정보를 포함하는 오류 메세지를 생성하여 외부에 제공하는 경우 공격자의 악성 행위를 도와줄 수 있다. 예외 발생 시 예외 이름이나 스택트레이스를 출력하는 경우 프로그램 내부 구조를 쉽게 파악할 수 있다.

  1. 오류 메세지는 정해진 사용자에게 유용한 최소한의 정보만을 포함한다.
  2. 예외 상황은 내부적으로 처리하고 사용자에게는 에러정보를 노출하지 않고, 사전에 정의된 페이지를 제공하도록 한다.

오류 상황 대응 부재

오류가 발생할 수 있는 부분에 예외처리가 부족한 경우

적절하지 않은 예외처리

취약한 패스워드 요구 조건