오류메시지 정보노출 - 실습 시뮬레이터

💡 쉽게 말하면
오류창에 내부 경로·쿼리를 그대로 보여주면 공격자에게 설계도를 주는 셈입니다. 사용자에겐 일반 안내만, 상세는 로그로 남깁니다.

✅ 학습 진행도

⬜ 진단 시작
⬜ 정보노출 식별
⬜ 로그 분리+일반화

☕ Java 코드 에디터 취약한 코드

try {
    processPayment(req);
} catch (Exception e) {
    // [취약] 내부 예외/스택트레이스를 사용자에게 노출
    response.getWriter().println("Error: " + e.getMessage());
    e.printStackTrace(response.getWriter());
}

try {
    processPayment(req);
} catch (Exception e) {
    // [취약] 내부 예외/스택트레이스를 사용자에게 노출
    response.getWriter().println("Error: " + e.getMessage());
    e.printStackTrace(response.getWriter());
}

💡 수정 가이드 (KISA 기준)

1. 로그 분리 + 일반 메시지

상세는 로그, 사용자에겐 일반 안내만.

} catch (Exception e) { logger.error("결제 처리 실패", e); // 상세는 서버 로그에만 response.getWriter().println("요청을 처리할 수 없습니다."); }

📊 분석 결과 및 설명

🎯 목표

예외의 상세 정보를 사용자에게 노출하지 않고 서버 로그로만 기록합니다.

⚠️ 현재 취약점

Sensitive Error Disclosure

스택트레이스/예외 메시지로 시스템 내부 구조가 노출됩니다.

✅ 학습 진행도

⬜ 진단 시작
⬜ 정보노출 식별
⬜ 로그 분리+일반화

🐍 Python 코드 에디터 취약한 코드

try:
    process_payment(req)
except Exception as e:
    # [취약] 예외 상세/트레이스백을 응답에 노출
    return f"Error: {e}\n{traceback.format_exc()}"

try:
    process_payment(req)
except Exception as e:
    # [취약] 예외 상세/트레이스백을 응답에 노출
    return f"Error: {e}\n{traceback.format_exc()}"

💡 수정 가이드 (KISA 기준)

1. logging + 일반 메시지

상세는 로그로, 응답은 일반 안내.

except Exception: logging.exception("결제 처리 실패") # 서버 로그에만 상세 기록 return "요청을 처리할 수 없습니다."

📊 분석 결과 및 설명

🎯 목표

예외 상세를 사용자 응답에서 제거하고 로그로만 남깁니다.

⚠️ 현재 취약점

Sensitive Error Disclosure

트레이스백 노출로 내부 구현이 드러납니다.

📢 오류메시지 정보노출 - 실습 시뮬레이터