Fortofy扫描安全漏洞解决——Unreleased Resource: Streams未释放资源漏洞

最新推荐文章于 2023-12-29 12:02:35 发布

龙城桥少

最新推荐文章于 2023-12-29 12:02:35 发布

阅读量1.6k

点赞数 7

CC 4.0 BY-SA版权

分类专栏： Fortify代码审计漏洞解决文章标签：安全 Fortofy 代码审计 java

本文链接：https://blog.csdn.net/weixin_52536274/article/details/135135737

Fortify代码审计漏洞解决专栏收录该内容

5 篇文章

订阅专栏

文章探讨了UnreleasedResource问题如何可能导致DoS攻击，通过示例展示了如何使用try-catch-finally和try-with-resources来防止资源泄漏。推荐使用try-with-resources以提高代码可读性和防止错误。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

问题描述：
大部分 Unreleased Resource 问题只会导致一般的软件可靠性问题，但如果攻击者能够故意触发资源泄漏，该攻击者就有可能通过耗尽资源池的方式发起 denial of service 攻击。

问题代码：

 FileInputStream inputStream = new FileInputStream(sourcePath);
 FileOutputStream outputStream = new FileOutputStream(destinationPath);
 byte[] buffer = new byte[1024];
 int bytesRead;
 while ((bytesRead = inputStream.read(buffer)) != -1) {
      outputStream.write(buffer, 0, bytesRead);
 }
 // 注意：这里缺少关闭资源的代码

解决方案1：使用try-catch-finally，在finally语句块中关闭资源(一般还是会被Fortofy扫描出来)

        FileInputStream inputStream = null;
        FileOutputStream outputStream = null;
        try {
            inputStream = new FileInputStream(sourcePath);
            outputStream = new FileOutputStream(destinationPath);
            byte[] buffer = new byte[1024];
            int bytesRead;
            while ((bytesRead = inputStream.read(buffer)) != -1) {
                outputStream.write(buffer, 0, bytesRead);
            }
        } catch (IOException e) {
            e.printStackTrace();
        } finally {
            try {
                if (inputStream != null) {
                    inputStream.close();
                }
                if (outputStream != null) {
                    outputStream.close();
                }
            } catch (IOException e) {
                e.printStackTrace();
            }
        }

解决方案2：使用try-with-resources方式解决(不会被Fortofy检测出漏洞)

try-with-resources大家不太常见，格式就是在try与catch语句块之间加入小括号，我们在小括号之中编写开启文件流代码，try-with-resources会为我们管理文件流，大伙儿无需手动关闭流资源。强烈推荐使用！增加代码可读性和行数，也会避免犯错。

    try (
            FileInputStream inputStream = new FileInputStream(sourcePath);
            FileOutputStream outputStream = new FileOutputStream(destinationPath)
        ) {
            byte[] buffer = new byte[1024];
            int bytesRead;
            while ((bytesRead = inputStream.read(buffer)) != -1) {
                outputStream.write(buffer, 0, bytesRead);
            }
        } // try-with-resources 会自动关闭资源
    }