Questão 1794409

• Banca: FCC
• Órgão: MPE-PB
• Ano: 2015
• Provas: FCC - 2015 - MPE-PB - Analista de Sistemas – Administrador de Banco de Dados
• Disciplina: Banco de Dados
• Assuntos: Segurança; SQL

       Uma fonte de riscos à segurança vem de aplicações que criam consultas dinamicamente, com base em condições de seleção e atributos de ordenação especificadas em um formulário HTML na web. Por exemplo, uma aplicação pode permitir que um usuário especifique qual atributo deve ser usado para ordenar os resultados de uma consulta. Uma consulta SQL apropriada é construída com base no atributo especificado. Suponha que uma aplicação Java obtenha o nome do atributo de um formulário, na variável atributo Ordem, e crie uma string de consulta como a seguinte: 

                    String query = “Select * from takes order by " + atributoOrdem; 

A situação apresentada acima pode se configurar em

• A. uma vulnerabilidade comum em consultas SQL e não pode causar nenhum dano ao banco de dados, que possui mecanismos próprios para identificar esta fragilidade e impedir ações danosas aos dados.
• B. um ataque do tipo SQL injection e, para evitá-lo, a aplicação deverá garantir que o valor da variável atributoOrdem seja um dos valores permitidos (nomes de atributos) antes de acrescentá-lo à string.
• C. um ataque do tipo XSF ou falsa solicitação entre sites e, para evitá-lo, a aplicação não pode permitir quaisquer tags HTML na entrada de texto por parte dos usuários.
• D. um ataque do tipo XSS ou scripting via SQL e, para evitá-lo, a aplicação não pode permitir que um formulário HTML utilize comandos select com campos preenchidos no site por parte dos usuários.
• E. um ataque do tipo SQL injection e, para evitá-lo, a aplicação deverá garantir que o valor da variável atributoOrdem não coincida com nenhum nome de atributo antes de acrescentá-lo à string, de forma que a coluna da tabela não possa ser alterada nem apagada.

Gabarito: B

Comentários

• O caso é de uma brecha para SQL Injection. Para evitar este ataque, o campo deve ser validado para que aceite apenas valores permitidos, portanto: gabarito é a alternativa B

• Letra B

   

  Questão retirada do livro: Sistema de Banco de Dados - Por Abraham Silberschatz, Henry Korth, S. Sundarshan

   

  https://books.google.com.br/books?id=1FBaDwAAQBAJ&pg=PT583&lpg=PT583&dq=enviar+uma+string+qualquer+no+lugar+de+um+valor+significativo+de+atributoOrdem,+mesmo+que+o+formul%C3%A1rio+HTML+usado+para+receber+a+entrada+tentasse+restringir+os+valores+permitido&source=bl&ots=erG9EcVlpY&sig=tqSgjys418NNVapnm18-NuAxWZo&hl=pt-BR&sa=X&ved=0ahUKEwjS9I6RuJXbAhXGEJAKHYJhB9QQ6AEIKjAA#v=onepage&q=enviar%20uma%20string%20qualquer%20no%20lugar%20de%20um%20valor%20significativo%20de%20atributoOrdem%2C%20mesmo%20que%20o%20formul%C3%A1rio%20HTML%20usado%20para%20receber%20a%20entrada%20tentasse%20restringir%20os%20valores%20permitido&f=false