Questão 749608

• Banca: VUNESP
• Órgão: TJM-SP
• Ano: 2011
• Provas: VUNESP - 2011 - TJM-SP - Analista em Comunicação e Processamento de Dados - Judiciário
• Disciplina: Banco de Dados
• Assuntos: SQL; SQL Server

Um sistema de cadastro de clientes utiliza uma base de dados SQL Server. A tela de cadastro monta o comando de inserção de dados concatenando os valores aos campos do sistema. Esse procedimento é um risco ao sistema, porque

• A. banco de dados relacionais executam comandos SQL apenas no console do banco, sendo que chamadas de aplicativos só são executadas em procedimentos.
• B. bancos de dados relacionais não executam comandos SQL gerados dinamicamente.
• C. concatenar valores de campos diretamente em consultas SQL permite ao usuário efetuar ataques do tipo SQL injection.
• D. em sistemas de cadastro,os comandos SQL devem estar dentro de procedimentos.
• E. a concatenação de valores permite mesclar uma tabela ao comando SQL e permite executar ataques do tipo Port Sniffer

Gabarito: C

Comentários

• Gabarito C

  Injeção de SQL (do inglês SQL Injection) é um tipo de ameaça de segurança que se aproveita de falhas em sistemas que interagem com bases de dados através de comandos SQL, onde o atacante consegue inserir uma instrução SQL personalizada e indevida dentro de uma consulta (SQL query) através da entradas de dados de uma aplicação, como formulários ou URL de uma aplicação.

  
  

  Um usuário, por meio de ataques com injeção SQL, é possível obter qualquer tipo de dado sigiloso mantido no banco de dados de um computador servidor. Dependendo da versão do banco de dados, também é possível inserir comandos maliciosos e conseguir permissão total (acesso root) à máquina em que o banco está em execução.

  
  

  
  

  "Retroceder Nunca Render-se Jamais !"

  Força e Fé !

  Fortuna Audaces Sequitur !