SóProvas


ID
2624269
Banca
CESPE / CEBRASPE
Órgão
ABIN
Ano
2018
Provas
Disciplina
Segurança da Informação
Assuntos

Julgue o item a seguir, relativo a injeção de código, engenharia reversa e exfiltração (ou desinfiltração) de dados.


Situação hipotética: Uma mudança maliciosa da chamada ao sistema web ocorreu por meio de substituição de valor de uma variável e inserção de outra, conforme a manipulação de URL a seguir.


de http://www.site.com.br/script?variavel=X

para http://www.site.com.br/script?variavel=ABC&varia vel_2=123


Assertiva: Essa situação descreve respectivamente um ataque por meio da técnica de persistência — em que há mudança no valor dos parâmetros ou variáveis — e da técnica de lateralidade — em que há a inserção de outras variáveis e(ou) parâmetros.

Alternativas
Comentários
  • acredito que seja um ataque de redirecionamento.

  • Gabarito Errado

    Esse ataque se refere ao código de injeção e injeção de SQL, similar ao ataque de manipulação de URL.

    Bom artigo sobre isso:

    https://books.google.com.br/books?id=dbKZBAAAQBAJ&pg=PA289&lpg=PA289&dq=ataque+de+manipula%C3%A7%C3%A3o+de+url&source=bl&ots=CpDUJ9hcG6&sig=I7Q_22T3_9YhhoSBUT6_AG2avYo&hl=pt-BR&sa=X&ved=0ahUKEwj9zpjk1oPaAhUEj1kKHTjEDvwQ6AEIMzAB#v=onepage&q=ataque%20de%20manipula%C3%A7%C3%A3o%20de%20url&f=false

     

     

    "Retroceder Nunca Render-se Jamais !"
    Força e Fé !
    Fortuna Audaces Sequitur !

  • Injeção de SQL não!

  • Injeção de SQL (do inglês SQL Injection) é um tipo de ameaça de segurança que se aproveita de falhas em sistemas que interagem com bases de dados através de comandos SQL - troca de informações - onde o atacante consegue inserir uma instruções SQL personalizadas e indevidas dentro de uma consulta (SQL query) através da entradas de dados de uma aplicação, como formulários ou URL de uma aplicação

  • pra ser Injeção de SQL nao teria que ter um SQL statement no input?

  • Injeção de Parâmetros


    http://blog.caelum.com.br/seguranca-em-aplicacoes-web-injecao-de-novos-parametros/

  • ...persistência — em que há mudança...

    como eu vou persitir e mudar?

     

    mais uma questão de interpretação de texto!

  • Não-persistente ou Refletido.

  • Não-persistente ou Refletido.

  • APT (Advanced Persistent Threat) = Ameaça Persistente Avançada
    (chuva de tentativas e métodos diferentes p/ obtenção de dados, o que pegar, pegou)

    https://www.kaspersky.com.br/blog/o-que-e-apt/754/

    *não é injeção de SQL 

  • Marquei como: C

    Resultado: Errei

  • GABARITO: ERRADO.

  • Eu jurei que seria um envenenamento de DNS, vulgo PHARMING. Pelo visto, acertei pelo motivo errado kkkk

  • Injeção de SQL é um tipo oculto de ataque cibernético em que o cibercriminoso insere o código dele em um site para violar as medidas de segurança e acessar dados protegidos. Uma vez instalado, ele pode controlar o banco de dados do site e sequestrar informações do usuário.

    A injeção de SQL é realizada com a linguagem de programação SQL (Structured Query Language) que é usada para gerenciar os dados mantidos no banco de dados. 

  • Galera, CUIDADO!!! Esse não é uma injeção de SQL, nem APT, nem ataque no DNS...

    Esse é um ataque de injeção de parâmetros (com disse o Fernando Rosentalski) ou também Web Parameter Tampering.

    --------------------------------------

    Fonte: https://owasp.org/www-community/attacks/Web_Parameter_Tampering

    ...

    Exemplo 3

    Um invasor pode adulterar os parâmetros de URL diretamente. Por exemplo, considere um aplicativo da web que permite ao usuário selecionar seu perfil em uma caixa de combinação e debitar a conta:

    http://www.attackbank.com/default.asp?profile=741&debit=1000

    Nesse caso, um invasor pode adulterar o URL, usando outros valores para perfil e débito:

    http://www.attackbank.com/default.asp?profile=852&debit=2000

    Outros parâmetros podem ser alterados, incluindo parâmetros de atributo. No exemplo a seguir, é possível adulterar a variável de status e excluir uma página do servidor:

    http://www.attackbank.com/savepage.asp?nr=147&status=read

    Modificando a variável de status para excluir a página:

    http://www.attackbank.com/savepage.asp?nr=147&status=del

    ...

    ---------------------------------

    Conclusão: A questão erra ao falar que é um ataque de persistência (pq a princípio se está manipulando a camada de negócio da aplicação e não o banco de dados) e também erra ao falar que é um ataque de lateralidade (pq, novamente falando, ele está manipulando a camada de negócio e não ganhando privilégio em outros servidores da rede).

    Espero ter ajudado.

    Caso tenho errado em algo no comentário, pode falar comigo.