A equipe de Segurança da Informação (SI) de um órgão público realizou varreduras de vulnerabilidades em seus ativos a fim de reduzir a exposição dos sistemas aos riscos. Durante a varredura, a equipe de SI identificou que um dos sistemas tinha uma vulnerabilidade que permitia a inserção de scripts maliciosos na aplicação, alterando o conteúdo dinâmico que o usuário recebia em seu navegador, redirecionando-o para um site falso. A vulnerabilidade identificada permitia um ataque de:
- A)backdoor;
Backdoor é uma porta de entrada oculta para acesso indevido ao sistema, e não um ataque de inserção de script na página web.
- B)rootkit;
Rootkit é um conjunto de técnicas ou ferramentas para esconder presença e manter privilégio no sistema, sem relação direta com script malicioso no navegador.
- C)session hijacking;
Session hijacking é o sequestro de sessão já estabelecida, o que pode ser consequência de XSS, mas não descreve a vulnerabilidade indicada no enunciado.
- D)cross-site scripting;
Correta: a descrição fala de inserção de scripts maliciosos na aplicação, com execução no navegador e redirecionamento da vítima, típico de cross-site scripting.
- E)SQL injection.
SQL injection é a exploração de falhas na interação com banco de dados por meio de comandos SQL, e não a manipulação de conteúdo exibido no navegador.
Gabarito: D
A questão descreve um ataque em que o invasor consegue inserir scripts maliciosos na aplicação e fazer com que esse conteúdo seja executado no navegador da vítima. Esse é o cenário clássico de cross-site scripting, ou XSS: a aplicação passa a refletir ou armazenar conteúdo malicioso e o navegador do usuário o executa como se fosse legítimo. O resultado pode ser roubo de dados, desvio de navegação, alteração visual da página e até captura de sessões, se houver oportunidade. Perceba o detalhe mais importante: o problema está na injeção de script na própria interação web, não em adulterar banco de dados, não em tomar controle do sistema operacional e nem em instalar software oculto no computador da vítima. Em XSS, o atacante explora a confiança que o navegador deposita no conteúdo exibido pela aplicação. É aquele tipo de falha que faz a página parecer normal por fora, mas com uma surpresa maliciosa por dentro. O gabarito é a letra D porque o enunciado fala exatamente em scripts maliciosos, conteúdo dinâmico alterado e redirecionamento do usuário para site falso. Isso encaixa com o conceito de XSS, que é uma vulnerabilidade de injeção de script do lado do cliente. Doutrinariamente, a ideia central é a execução indevida de código no contexto do navegador da vítima, geralmente por falhas de validação, filtragem ou escaping de entrada. Em prova, sempre associe XSS a navegação, navegador, página web e script executado no contexto do usuário. Se apareceu SQL, pense em banco de dados; se apareceu controle persistente do sistema, pense em malware mais profundo; se apareceu sequestro de sessão como consequência, ele pode até ocorrer, mas não é o nome do ataque principal.