今天给大家show一下，国内最强的代码审查工具CoBOT，对OWASP Benchmark进行代码审查的报告。

Benchmark

代码检测报告

******公司

2019年10月25日

被测项目名称	Benchmark
测试类别	静态代码审查	测试日期	2019年10月25日
委托单位	公司
测评结论	根据问题的严重程度，分为致命，严重，错误，警告，建议，五个安全级别。此次测试共发现致命缺陷 2 个，严重缺陷 1716 个，错误缺陷 0 个，警告缺陷 0 个，建议缺陷 0 个，合计 1718 个。详细分析请见（详情）章节公司 2019年10月25日
编制：审批：批准：

概况

风险等级

风险等级是参照NASA Software Safety Guidebook风险等级划分，如下表所示：

表一：缺陷严重等级

缺陷严重等级	等级描述
致命	会造成程序崩溃的缺陷
严重	可能会影响程序的功能和性能的缺陷
错误	会影响程序的功能和性能，或者造成未定义行为的缺陷
警告	会轻度的影响程序功能性能，或者潜在的影响程序功能性能。
建议	不会直接影响程序的功能和性能，但这不是良好的代码风格，可能会有潜在的影响。

测试选用规则

CoBOT 成立代码审计技术服务小组，该任务组在工作组织中，开展了安全保密教育，制定了安全保密措施，签署了安全保密协议，并有针对性的做好测试服务的各项准备。

测试原则

本次测试工作中严格遵循以下原则：

（1）标准性原则：代码审计方案的设计和实施应依据行业、国家、国际的相关标准进行；

（2）规范性原则：软件开发商的工作过程和所有文档，应具有很好的规范性，以便于项目的跟踪和控制；

（3）可控性原则：在保证测试质量的前提下，按计划进度执行，需要保证对代码审计工作的可控性,代码审计的工具、方法和过程要在双方认可的范围之内合法进行；

（4）整体性及有限性原则：渗透性测试的内容应包括用户等各个层面，渗透性测试的对象应包括和仅限于用户所指定的具体设备及系统，未经用户授权不得减小或扩大渗透性测试的范围和对象；

（5）最小影响原则：源代码安全审查工作在模拟系统开发环境的测试机上进行，不能对正常运行的系统构成破坏和停止；

（6）保密原则：源代码安全审查的过程和结果应严格保密，不能泄露测试项目所涉及的任何打印和电子形式的有效数据和文件。

详情

本次代码测试情况如下表所示：

检测人	amin	检测时间	2019-10-25 17:47:18
文件数	5578 个	缺陷数	1718 个
代码总行数	313215 行	耗时	3分6秒
语言类型	Java,Html,JavaScript

Java语言安全编码规则检测结果汇总

序号	名称	严重等级	数量
1	SE_10_03 Servlet中潜在的XSS	致命	1
2	SE_01_18 printStackTrace()导致信息泄露	严重	1455
3	SE_05_03 潜在的命令行注入	严重	212
4	SE_01_16 不提供完整性的密码	严重	49
合计			1717

Java语言安全编码规则检测结果详解

序号

缺陷详细信息

缺陷名称:SE_10_03 Servlet中潜在的XSS CWE-79

缺陷数量:1个

缺陷详解:发现了潜在的XSS。它可以用于在客户端的浏览器中执行不需要的JavaScript。XSS是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些代码，嵌入到web页面中去。使别的用户访问都会执行相应的嵌入代码。从而盗取用户资料、利用用户身份进行某种动作或者对访问者进行病毒侵害的一种攻击方式。

1.1缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00030.java中第55行。

缺陷说明:在(BenchmarkTest00030.java)文件第(45)行调用方法[HttpServletRequest.getParameterMap]获取外部输入变量，该变量为不受信数据，在第(55)行调用方法[HttpServletResponse.getWriter.printf]写入数据，其中包括来自不可信的外部数据，可能存在潜在的XSS攻击，不信任任何客户端提交的数据，只要是客户端提交的数据就应该先进行相应的过滤处理然后方可进行下一步的操作。

代码片段：

54 Object[] obj = { "a", "b"};

55 response.getWriter().printf(param,obj);

56 }

57 }

缺陷名称:SE_01_18 printStackTrace()导致信息泄露 CWE-209

缺陷数量:1455个

缺陷详解:敏感信息本身可能是有价值的信息（例如密码），或者对于发起其他更致命的攻击可能是有用的。如果攻击失败，攻击者可能会使用服务器提供的错误信息来启动另一个更集中的攻击。例如，尝试利用路径遍历弱点可能会产生已安装应用程序的完整路径名。反过来，这可以用于选择适当数量的“..”序列以导航到目标文件。使用SQL注入的攻击最初可能不会成功，但错误消息可能会显示错误的查询，这会暴露查询逻辑，甚至可能暴露查询中使用的密码或其他敏感信息。

2.1缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02191.java中第111行。

缺陷说明:在(BenchmarkTest02191.java)文件第(111)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

109 } catch (java.security.InvalidKeyException e) {

110 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

111 e.printStackTrace(response.getWriter());

112 throw new ServletException(e);

113 } catch (java.security.InvalidAlgorithmParameterException e) {

2.2缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01564.java中第105行。

缺陷说明:在(BenchmarkTest01564.java)文件第(105)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

103 } catch (javax.crypto.BadPaddingException e) {

104 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

105 e.printStackTrace(response.getWriter());

106 throw new ServletException(e);

107 } catch (java.security.InvalidKeyException e) {

2.3缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02661.java中第104行。

缺陷说明:在(BenchmarkTest02661.java)文件第(104)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

102 } catch (java.security.InvalidKeyException e) {

103 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

104 e.printStackTrace(response.getWriter());

105 throw new ServletException(e);

106 } catch (java.security.InvalidAlgorithmParameterException e) {

2.4缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00687.java中第113行。

缺陷说明:在(BenchmarkTest00687.java)文件第(113)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

111 } catch (javax.crypto.BadPaddingException e) {

112 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

113 e.printStackTrace(response.getWriter());

114 throw new ServletException(e);

115 } catch (java.security.InvalidKeyException e) {

2.5缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01228.java中第96行。

缺陷说明:在(BenchmarkTest01228.java)文件第(96)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

94 } catch (javax.crypto.IllegalBlockSizeException e) {

95 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

96 e.printStackTrace(response.getWriter());

97 throw new ServletException(e);

98 } catch (javax.crypto.BadPaddingException e) {

2.6缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00609.java中第92行。

缺陷说明:在(BenchmarkTest00609.java)文件第(92)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

90 } catch (java.security.NoSuchAlgorithmException e) {

91 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

92 e.printStackTrace(response.getWriter());

93 throw new ServletException(e);

94 } catch (javax.crypto.NoSuchPaddingException e) {

2.7缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00053.java中第117行。

缺陷说明:在(BenchmarkTest00053.java)文件第(117)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

115 } catch (javax.crypto.BadPaddingException e) {

116 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

117 e.printStackTrace(response.getWriter());

118 throw new ServletException(e);

119 } catch (java.security.InvalidKeyException e) {

2.8缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00350.java中第103行。

缺陷说明:在(BenchmarkTest00350.java)文件第(103)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

101 } catch (javax.crypto.IllegalBlockSizeException e) {

102 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

103 e.printStackTrace(response.getWriter());

104 throw new ServletException(e);

105 } catch (javax.crypto.BadPaddingException e) {

2.9缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00691.java中第115行。

缺陷说明:在(BenchmarkTest00691.java)文件第(115)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

113 } catch (javax.crypto.BadPaddingException e) {

114 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

115 e.printStackTrace(response.getWriter());

116 throw new ServletException(e);

117 } catch (java.security.InvalidKeyException e) {

2.10缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00056.java中第132行。

缺陷说明:在(BenchmarkTest00056.java)文件第(132)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

130 } catch (java.security.InvalidAlgorithmParameterException e) {

131 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

132 e.printStackTrace(response.getWriter());

133 throw new ServletException(e);

134 }

2.11缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02549.java中第125行。

缺陷说明:在(BenchmarkTest02549.java)文件第(125)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

123 } catch (java.security.InvalidAlgorithmParameterException e) {

124 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

125 e.printStackTrace(response.getWriter());

126 throw new ServletException(e);

127 }

2.12缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02460.java中第105行。

缺陷说明:在(BenchmarkTest02460.java)文件第(105)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

103 } catch (javax.crypto.BadPaddingException e) {

104 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

105 e.printStackTrace(response.getWriter());

106 throw new ServletException(e);

107 } catch (java.security.InvalidKeyException e) {

2.13缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00254.java中第115行。

缺陷说明:在(BenchmarkTest00254.java)文件第(115)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

113 } catch (java.security.InvalidKeyException e) {

114 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

115 e.printStackTrace(response.getWriter());

116 throw new ServletException(e);

117 } catch (java.security.InvalidAlgorithmParameterException e) {

2.14缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00005.java中第97行。

缺陷说明:在(BenchmarkTest00005.java)文件第(97)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

95 } catch (javax.crypto.IllegalBlockSizeException e) {

96 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

97 e.printStackTrace(response.getWriter());

98 throw new ServletException(e);

99 } catch (javax.crypto.BadPaddingException e) {

2.15缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02103.java中第100行。

缺陷说明:在(BenchmarkTest02103.java)文件第(100)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

98 } catch (javax.crypto.IllegalBlockSizeException e) {

99 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

100 e.printStackTrace(response.getWriter());

101 throw new ServletException(e);

102 } catch (javax.crypto.BadPaddingException e) {

2.16缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00050.java中第112行。

缺陷说明:在(BenchmarkTest00050.java)文件第(112)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

110 } catch (java.security.InvalidAlgorithmParameterException e) {

111 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

112 e.printStackTrace(response.getWriter());

113 throw new ServletException(e);

114 }

2.17缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01100.java中第109行。

缺陷说明:在(BenchmarkTest01100.java)文件第(109)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

107 } catch (javax.crypto.IllegalBlockSizeException e) {

108 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

109 e.printStackTrace(response.getWriter());

110 throw new ServletException(e);

111 } catch (javax.crypto.BadPaddingException e) {

2.18缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01481.java中第107行。

缺陷说明:在(BenchmarkTest01481.java)文件第(107)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

105 } catch (java.security.InvalidKeyException e) {

106 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

107 e.printStackTrace(response.getWriter());

108 throw new ServletException(e);

109 } catch (java.security.InvalidAlgorithmParameterException e) {

2.19缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01901.java中第103行。

缺陷说明:在(BenchmarkTest01901.java)文件第(103)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

101 } catch (javax.crypto.IllegalBlockSizeException e) {

102 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

103 e.printStackTrace(response.getWriter());

104 throw new ServletException(e);

105 } catch (javax.crypto.BadPaddingException e) {

2.20缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01320.java中第116行。

缺陷说明:在(BenchmarkTest01320.java)文件第(116)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

114 } catch (java.security.InvalidAlgorithmParameterException e) {

115 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

116 e.printStackTrace(response.getWriter());

117 throw new ServletException(e);

118 }

2.21缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01898.java中第111行。

缺陷说明:在(BenchmarkTest01898.java)文件第(111)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

109 } catch (java.security.InvalidAlgorithmParameterException e) {

110 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

111 e.printStackTrace(response.getWriter());

112 throw new ServletException(e);

113 }

2.22缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02022.java中第91行。

缺陷说明:在(BenchmarkTest02022.java)文件第(91)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

89 } catch (javax.crypto.NoSuchPaddingException e) {

90 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

91 e.printStackTrace(response.getWriter());

92 throw new ServletException(e);

93 } catch (javax.crypto.IllegalBlockSizeException e) {

2.23缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02296.java中第122行。

缺陷说明:在(BenchmarkTest02296.java)文件第(122)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

120 } catch (java.security.InvalidKeyException e) {

121 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

122 e.printStackTrace(response.getWriter());

123 throw new ServletException(e);

124 // } catch (java.security.InvalidAlgorithmParameterException e) {

2.24缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02290.java中第105行。

缺陷说明:在(BenchmarkTest02290.java)文件第(105)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

103 } catch (java.security.NoSuchProviderException e) {

104 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

105 e.printStackTrace(response.getWriter());

106 throw new ServletException(e);

107 } catch (javax.crypto.NoSuchPaddingException e) {

2.25缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00854.java中第110行。

缺陷说明:在(BenchmarkTest00854.java)文件第(110)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

108 } catch (javax.crypto.BadPaddingException e) {

109 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

110 e.printStackTrace(response.getWriter());

111 throw new ServletException(e);

112 } catch (java.security.InvalidKeyException e) {

2.26缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01400.java中第112行。

缺陷说明:在(BenchmarkTest01400.java)文件第(112)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

110 } catch (java.security.InvalidKeyException e) {

111 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

112 e.printStackTrace(response.getWriter());

113 throw new ServletException(e);

114 }

2.27缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02020.java中第100行。

缺陷说明:在(BenchmarkTest02020.java)文件第(100)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

98 } catch (javax.crypto.NoSuchPaddingException e) {

99 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

100 e.printStackTrace(response.getWriter());

101 throw new ServletException(e);

102 } catch (javax.crypto.IllegalBlockSizeException e) {

2.28缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01317.java中第93行。

缺陷说明:在(BenchmarkTest01317.java)文件第(93)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

91 } catch (java.security.NoSuchAlgorithmException e) {

92 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

93 e.printStackTrace(response.getWriter());

94 throw new ServletException(e);

95 } catch (javax.crypto.NoSuchPaddingException e) {

2.29缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02373.java中第105行。

缺陷说明:在(BenchmarkTest02373.java)文件第(105)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

103 } catch (java.security.InvalidKeyException e) {

104 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

105 e.printStackTrace(response.getWriter());

106 throw new ServletException(e);

107 } catch (java.security.InvalidAlgorithmParameterException e) {

2.30缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01976.java中第124行。

缺陷说明:在(BenchmarkTest01976.java)文件第(124)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

122 } catch (java.security.InvalidAlgorithmParameterException e) {

123 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

124 e.printStackTrace(response.getWriter());

125 throw new ServletException(e);

126 }

2.31缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00058.java中第101行。

缺陷说明:在(BenchmarkTest00058.java)文件第(101)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

99 } catch (javax.crypto.IllegalBlockSizeException e) {

100 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

101 e.printStackTrace(response.getWriter());

102 throw new ServletException(e);

103 } catch (javax.crypto.BadPaddingException e) {

2.32缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/helpers/Utils.java中第80行。

缺陷说明:在(Utils.java)文件第(80)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

78 out.close();

79 } catch (FileNotFoundException e) {

80 e.printStackTrace();

81 }

82 }

2.33缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01103.java中第122行。

缺陷说明:在(BenchmarkTest01103.java)文件第(122)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

120 } catch (java.security.InvalidAlgorithmParameterException e) {

121 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

122 e.printStackTrace(response.getWriter());

123 throw new ServletException(e);

124 }

2.34缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest01481.java中第103行。

缺陷说明:在(BenchmarkTest01481.java)文件第(103)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

101 } catch (javax.crypto.BadPaddingException e) {

102 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

103 e.printStackTrace(response.getWriter());

104 throw new ServletException(e);

105 } catch (java.security.InvalidKeyException e) {

2.35缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00443.java中第123行。

缺陷说明:在(BenchmarkTest00443.java)文件第(123)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

121 } catch (java.security.InvalidAlgorithmParameterException e) {

122 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

123 e.printStackTrace(response.getWriter());

124 throw new ServletException(e);

125 }

2.36缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00610.java中第109行。

缺陷说明:在(BenchmarkTest00610.java)文件第(109)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

107 } catch (javax.crypto.NoSuchPaddingException e) {

108 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

109 e.printStackTrace(response.getWriter());

110 throw new ServletException(e);

111 } catch (javax.crypto.IllegalBlockSizeException e) {

2.37缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/score/BenchmarkScore.java中第366行。

缺陷说明:在(BenchmarkScore.java)文件第(366)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

364 } catch ( IOException e ) {

365 System.out.println ( "Error updating results table in: " + f.getName() );

366 e.printStackTrace();

367 }

368

2.38缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest02374.java中第89行。

缺陷说明:在(BenchmarkTest02374.java)文件第(89)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

87 } catch (java.security.NoSuchAlgorithmException e) {

88 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

89 e.printStackTrace(response.getWriter());

90 throw new ServletException(e);

91 } catch (javax.crypto.NoSuchPaddingException e) {

2.39缺陷发生位置:在文件Benchmark/Benchmark-1.2beta/src/main/java/org/owasp/benchmark/testcode/BenchmarkTest00857.java中第113行。

缺陷说明:在(BenchmarkTest00857.java)文件第(113)行调用方法[printStackTrace]打印异常信息，返回到页面的错误信息有可能会暴漏用户敏感信息，建议将错误的详细信息打印到日志文件中，返回到页面的信息是对应错误的编码或其它字符串信息。

代码片段：

111 } catch (javax.crypto.NoSuchPaddingException e) {

112 response.getWriter().println("Problem executing crypto - javax.crypto.Cipher.getInstance(java.lan

113 e.printStackTrace(response.getWriter());

114 throw new ServletException(e);

115 } catch (javax.crypto.IllegalBlockSizeException e) {

500多页，还仅仅是致命和严重缺陷，省略了，如果想要全部，联系我。

（完）

manok 博客专家

发布了309 篇原创文章 · 获赞 31 · 访问量 6万+

私信关注

最强代码审查工具报告

Benchmark

代码检测报告

概况

测试对象

风险等级

测试选用规则

测试原则

详情

Java语言安全编码规则检测结果汇总

Java语言安全编码规则检测结果详解

猜你喜欢