Analistas do TCE-RR utilizavam uma plataforma web interna para registrar auditorias. Durante a análise de segurança, foi detectado que áreas de entrada de texto na plataforma, usadas para registrar observações em relatórios, continham código malicioso armazenado no servidor. Esse código era executado automaticamente no navegador de qualquer funcionário que visualizasse os relatórios, redirecionando-os para sites fraudulentos. Nesse contexto, o ataque foi identificado como
- A)injeção de código em XML (XML Injection).
Errada, porque XML Injection envolve manipulação de estrutura XML, não execução automática de script em navegador via conteúdo armazenado.
- B)injeção de código por buffer overflow.
Errada, pois buffer overflow é falha de memória em programas, não um ataque web baseado em entrada textual salva e executada no navegador.
- C)Cross-Site Scripting (XSS) persistente.
Certa, porque o código malicioso ficou armazenado no servidor e foi executado quando qualquer usuário visualizou os relatórios.
- D)Cross-Site Scripting (XSS) refletido.
Errada, porque o XSS refletido depende de a entrada ser devolvida na própria resposta imediatamente, sem ficar armazenada.
- E)Cross-Site Scripting (XSS) baseado em DOM.
Errada, pois o XSS baseado em DOM ocorre pela manipulação do DOM no cliente, e o enunciado aponta código armazenado no servidor.
Gabarito: C
A questão descreve um caso clássico de XSS, mais especificamente o XSS persistente, também chamado de armazenado. Isso acontece quando o código malicioso entra na aplicação, fica salvo no servidor e depois é entregue para outras pessoas quando elas acessam a página. Em outras palavras: o ataque não aparece e some na hora, ele fica “guardadinho” para causar estrago depois. No enunciado, o texto malicioso foi inserido em campos de observação de relatórios e, ao ser visualizado por qualquer funcionário, era executado automaticamente no navegador. Esse detalhe é o coração da resposta: o conteúdo foi armazenado e reutilizado pelo sistema, sem depender de um clique imediato de uma vítima específica. O efeito descrito, inclusive o redirecionamento para sites fraudulentos, é típico de scripts injetados via XSS. A aplicação confia no dado recebido, grava esse dado e depois o devolve ao navegador sem a devida validação ou escape. Resultado: o navegador executa o script como se fosse parte legítima da página. Em concursos, vale separar bem os três tipos mais cobrados: refletido, quando o script volta na resposta imediatamente; persistente, quando fica salvo no servidor; e baseado em DOM, quando a falha está no lado do cliente, manipulando o DOM sem precisar o servidor devolver o código. Aqui, como o código estava armazenado e atingia qualquer pessoa que abrisse o relatório, o gabarito é mesmo o XSS persistente.