Questões de Concurso sobre Cross-Site-Scripting (XSS)

O framework de segurança da informação e segurança cibernética MITRE ATT&CK oferece as seguintes aplicações práticas: melhoramento do entendimento das ameaças, testes de penetração, priorização de ameaças e riscos, melhoria dos controles de segurança, caça a ameaças e resposta a incidentes, avaliação de soluções de segurança, pesquisa e desenvolvimento.

O ataque cibernético que realiza a injeção de script malicioso em uma entrada desprotegida ou não validada pela aplicação em um site vulnerável, a fim de permitir que o atacante viabilize o retorno e execução do script malicioso no navegador da vítima, quando ela estiver acessando o site vulnerável, é conhecido como:

Walace está fazendo uma verificação de segurança da empresa X, onde trabalha na busca de alguma falha no controle de acesso das aplicações. Ele está seguindo o modelo OWASP, que indica algumas ferramentas que auxiliam nessa tarefa. Walace identificou adulteração do JSON Web Token (JWT) de controle de acesso para elevação de privilégios na aplicação.

Com isso, Walace teve a necessidade de implementar rapidamente a ação de prevenção:

O OWASP Top 10 é uma lista bastante renomada sobre os riscos de segurança mais impactantes para aplicações web. Em sua última edição, o item Quebra de Controle de Acesso, que se refere à criação de políticas para que os usuários não possam agir fora de suas permissões pretendidas, ficou em 1º lugar.

Assinale a opção a seguir que não corresponde a uma ação de prevenção para Quebra de Controle de Acesso.

Um ataque de XSS (cross-site scripting) não tem como alvo direto o próprio aplicativo, mas sim os usuários do aplicativo da Web.

No cross-site scripting refletido (não persistente), a carga útil do invasor deve fazer parte da solicitação enviada ao servidor da Web. Em seguida, é refletida de volta, de maneira que a resposta HTTP inclua a carga útil da solicitação HTTP. Os invasores usam técnicas de engenharia social para induzir a vítima a fazer uma solicitação ao servidor. A carga útil XSS refletida é, então, executada no navegador do usuário.

Considere o seguinte trecho de código em PHP:

<?php

/*...*/

$sessionID = $_POST['sessionID'];

$query = "SELECT * FROM User WHERE sessionID LIKE '%$sessionID%'";

$result = pg_query($conn, $query);

/*...*/

?>

Esse trecho de código apresenta uma falha de segurança muito comum, listada como a falha de segurança mais frequente pelo relatório OWASP Top 10 de 2017.

Tal falha de segurança é conhecida como:

Em meio à diversidade de ataques cibernéticos, cada qual com suas características e seus métodos particulares, destaca-se um tipo específico, em que criminosos injetam códigos maliciosos no conteúdo de um site alvo. Esses códigos são incluídos com o conteúdo dinâmico entregue ao navegador da vítima, que os executa sem perceber que são maliciosos. Trata-se de qual tipo de ataque?

Conforme a tecnologia avança e cada vez mais utilizamos serviços ligados a redes de computadores, as ameaças cibernéticas também vão se diversificando com o surgimento de novas formas de ataques digitais.

Relacione os tipos de ataque listados a seguir às respectivas descrições.

1. DoS

2. Cross-Site Scripting (XSS)

3. Cross-Site Request Forgery

4. Injection

( ) ataque em que os criminosos injetam scripts maliciosos no conteúdo de um site de outra forma confiável, visando atacar usuários visitantes do site.

( ) ataque em que o criminoso insere código malicioso em campos de entrada, sites, programa ou outros, com a finalidade de executar comandos que podem, por exemplo, ler ou modificar um banco de dados ou alterar dados em um site.

( ) ataque no qual o criminoso faz com que um usuário autenticado em um aplicativo web realize ações não intencionais sem que ele perceba.

( ) ataque no qual o criminoso tem por objetivo tornar um computador, servidor ou serviço indisponível para os usuários a que se destinam, interrompendo o funcionamento normal do dispositivo.

Assinale a opção que indica a relação correta na ordem apresentada.

Um especialista em segurança identificou um ataque que emprega códigos inseridos em um site comprometido para explorar vulnerabilidades em navegadores, visando a atacar um sistema cliente quando o site é visitado.

É correto afirmar que foi(ram) empregado(s):

A OWASP Top 10 é uma lista amplamente reconhecida das vulnerabilidades mais críticas em aplicações web, criada pela Open Web Application Security Project (OWASP). Atualizada periodicamente, a lista destaca as principais falhas de segurança que podem ser exploradas por atacantes. Com foco em orientar desenvolvedores e equipes de segurança, a OWASP Top 10 serve como uma referência essencial para proteger aplicações web e melhorar as práticas de desenvolvimento seguro.

Em sua versão OWASP Top 10:2021, identificamos como uma categoria de vulnerabilidade

O Cross-Site-Scripting, também conhecido como (XSS), é um dos defeitos de segurança mais comumente encontrados em aplicações web, permitindo utilizar uma aplicação vulnerável para transportar código malicioso até o navegador de outro usuário. Dependendo de como o código malicioso é transportado até o navegador da vítima e do local em que a vulnerabilidade ocorre (no servidor ou no cliente), um XSS pode ser classificado de vários tipos.

O tipo de XSS que o código malicioso é enviado na URL ou no cabeçalho HTTP, como parte da requisição, explorando um parâmetro que é exibido sem tratamento na página resultante, é o:

Fuzzing é um tipo de teste de prevenção de ataques que consiste na inserção de poucos dados não aleatórios em uma aplicação web com a expectativa de se obter um código de erro 500.

Em um formulário web para cadastro de senhas, é importante garantir que as senhas definidas pelos usuários atendam a critérios mínimos de segurança. Considerando as regras comuns para definição de senhas seguras, e que a senha contenha pelo menos uma letra minúscula, uma letra maiúscula, um dígito e um caractere especial, e possuam no mínimo 8 caracteres de comprimento, qual das seguintes expressões regulares em JavaScript poderia ser utilizada para validar se uma senha atende a esses critérios?

OWASP Top 10 é uma lista de recomendações de segurança que se restringe à listagem das vulnerabilidades de software encontradas em sistemas operacionais.

Em um ataque cross-site scripting armazenado, quando um usuário é induzido a clicar um link malicioso, o código injetado é enviado para o site vulnerável, o que reflete o ataque de volta ao navegador do usuário; o navegador, então, executa o código, porque interpreta que ele veio de um servidor confiável.

Determinado usuário com conhecimentos avançados em tecnologia da informação estava navegando em um portal de notícias da sua cidade, quando observou que era possível inserir trechos em HTML nos campos de comentários das reportagens. Esse comportamento chamou a atenção do usuário, que resolveu testar se também era possível adicionar códigos JavaScript; logo, foi verificado que o teste foi bem-sucedido, pois nenhum bloqueio foi detectado ao adicionar esse tipo de código. A vulnerabilidade observada pelo usuário na situação hipotética torna possível um ataque conhecido como Cross-Site Scripting (XSS), que explora a falta de tratamento adequado das informações digitadas pelos usuários. Analise as afirmativas a seguir sobre o tipo de ataque em questão.

I. O objetivo é enviar comandos JavaScript e css que serão executados pelo servidor com comportamentos prejudiciais ao usuário.

II. Uma forma de burlar algoritmos de tratamento de XSS é utilizar os códigos JavaScript mascarados como, por exemplo, em notação hexadecimal.

III. Um exemplo de ataque pode ser: adicionar um código JavaScript para coletar os dados de autenticação digitados pelo usuário e, em seguida, realizar uma requisição ajax para outra aplicação enviando-os.

Está correto o que se afirma apenas em

Uma subcategoria de ataque do tipo XSS é caracterizada pelo envio de scripts maliciosos, como parâmetros de requisições a um website, explorando o fato de o conteúdo dessas requisições ser enviado de volta na resposta ao navegador sem tratamento adequado, tais como em mensagens de erro ou em exibição de strings de busca.

Essa subcategoria é conhecida como

Assinale a opção que indica o tipo de vulnerabilidade que é geralmente associada à função javascript eval()

Em uma aplicação com entrada de dados e comunicação com um banco de dados no back-end, _______ é o ataque que explora uma vulnerabilidade da validação da entrada de dados, inserindo código malicioso em queries SQL para manipular o banco de dados.

Assinale a alternativa que preenche corretamente a lacuna do trecho acima.