Uma aplicação web pode ser atacada por meio da exploração de vulnerabilidades, como, por exemplo, quando os dados fornecidos pelos usuários não são validados, filtrados ou mesmo limpos pela aplicação; pela não renovação dos identificadores de sessão após o processo de autenticação ter sido bem-sucedido; pela elevação de privilégios, atuando como usuário sem autenticação, ou como administrador, mas tendo perfil de usuário regular. Aplicações com essas características são vulneráveis à falha de I injeção; II quebra de autenticação; III quebra de controle de acesso. Assinale a opção correta
- A)Apenas o item I está certo.
Errada, porque os fatos narrados também caracterizam falha de autenticação e de controle de acesso, não apenas injeção.
- B)Apenas o item III está certo.
Errada, porque o enunciado descreve também vulnerabilidade por entrada não tratada e por falhas de autenticação, além do controle de acesso.
- C)Apenas os itens I e II estão certos.
Errada, porque o item III também está correto, já que a situação inclui elevação indevida de privilégios e atuação fora do perfil permitido.
- D)Apenas os itens II e III estão certos
Errada, porque o item I igualmente está correto, pois dados não validados, filtrados ou limpos favorecem ataques de injeção.
- E)Todos os itens estão certos.
Certa, porque a descrição traz simultaneamente injeção, quebra de autenticação e quebra de controle de acesso.
Gabarito: E
Essa questão mistura três falhas clássicas de segurança em aplicações web, e a banca quer que voce reconheça que elas podem coexistir na mesma aplicação. Quando a aplicação não valida, filtra ou limpa dados de entrada, ela fica vulnerável a injeção, porque o atacante consegue “mandar” comandos ou estruturas maliciosas para o sistema. Isso é o terreno tradicional de SQL Injection, command injection e afins. Já a quebra de autenticação aparece quando o processo de login ou de manutenção da sessão falha, como no caso citado de não renovar o identificador de sessão após a autenticação. Isso abre espaço para sequestro de sessão e outros ataques em que o invasor se aproveita de um identificador antigo ou previsível. Em boas práticas e em referências como a OWASP Top 10, isso aparece como falha de identificação e autenticação, incluindo gerenciamento inadequado de sessão. Por fim, a quebra de controle de acesso ocorre quando o sistema deixa o usuário agir além do que deveria, como um usuário sem autenticação acessando funções restritas ou um usuário comum agindo como administrador. Aqui o problema é a autorização, não o login em si. A aplicação não impõe corretamente quem pode fazer o quê. Por isso o gabarito é a letra E: os três itens estão corretos. Em resumo, entrada mal tratada puxa injeção, sessão mal gerida puxa quebra de autenticação, e permissão mal aplicada puxa quebra de controle de acesso. É aquela tríade que a banca adora cobrar separadamente, mas aqui veio no pacote completo.