FC ConcursosFC Concursos

Questão FC375575

Determinado usuário com conhecimentos avançados em tecnologia da informação estava navegando em um portal de notícias da sua cidade, quando observou que era possível inserir trecho

Ameaças aos Sistemas Computacionais

Instituto Consulplan · 2024

Determinado usuário com conhecimentos avançados em tecnologia da informação estava navegando em um portal de notícias da sua cidade, quando observou que era possível inserir trechos em HTML nos campos de comentários das reportagens. Esse comportamento chamou a atenção do usuário, que resolveu testar se também era possível adicionar códigos JavaScript; logo, foi verificado que o teste foi bem-sucedido, pois nenhum bloqueio foi detectado ao adicionar esse tipo de código. A vulnerabilidade observada pelo usuário na situação hipotética torna possível um ataque conhecido como Cross-Site Scripting (XSS), que explora a falta de tratamento adequado das informações digitadas pelos usuários. Analise as afirmativas a seguir sobre o tipo de ataque em questão.

 

I. O objetivo é enviar comandos JavaScript e css que serão executados pelo servidor com comportamentos prejudiciais ao usuário.

 

II. Uma forma de burlar algoritmos de tratamento de XSS é utilizar os códigos JavaScript mascarados como, por exemplo, em notação hexadecimal.

 

III. Um exemplo de ataque pode ser: adicionar um código JavaScript para coletar os dados de autenticação digitados pelo usuário e, em seguida, realizar uma requisição ajax para outra aplicação enviando-os.

 

Está correto o que se afirma apenas em

  1. I.
  2. II.
  3. III.
  4. II e III.
Mostrar resposta e comentário

Gabarito

D

Comentário do professor

As afirmativas II e III estão corretas no contexto de um ataque de XSS.

II: atacantes costumam mascarar código JavaScript usando encodings (hexadecimal, Unicode, entidades HTML) para contornar filtros que procuram padrões literais. O navegador, ao renderizar, decodifica essas sequências e executa o script, portanto um sanitizador fraco que não normaliza a entrada pode ser burlado.

III: um payload XSS pode capturar informações no cliente (formulários, eventos de teclado, cookies, localStorage) e então exfiltrá‑las por meio de uma requisição (por exemplo AJAX, fetch, imagem-beacon) para um servidor controlado pelo atacante. Esse fluxo é típico em ataques voltados ao roubo de credenciais e tokens.

Em suma, mascaramento e exfiltração via requisição são técnicas reais e perigosas associadas ao XSS.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo