Questão FC406901
Um servidor de páginas web, Ubuntu Server, publicou na internet um portal de notícias com uma vulnerabilidade. Ela permite que os clientes maliciosos deste servidor tenham acesso a
Ameaças aos Sistemas Computacionais
FGV · 2024
Um servidor de páginas web, Ubuntu Server, publicou na internet um portal de notícias com uma vulnerabilidade. Ela permite que os clientes maliciosos deste servidor tenham acesso a sua estrutura de arquivos e diretórios por meio da manipulação das informações demandadas por uma variável PHP apresentada na URL de acesso desta página web.
Assinale, entre as opções abaixo, aquela que apresenta o tipo de vulnerabilidade presente nesta página web.
- LFI – Local File Inclusion.
- RFI – Remote File Inclusion.
- XSS – Cross-Site Scripting.
- SQL Injection.
- FPD – Full Path Disclosure.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
A falha descrita é a FPD – Full Path Disclosure. Trata-se da divulgação do caminho completo dos arquivos do servidor (ex.: /var/www/html/site/arquivo.php) para um usuário ou atacante.
Essa exposição geralmente ocorre por mensagens de erro, respostas mal tratadas ou inclusão direta de valores vindos da URL que revelam a estrutura de diretórios. Basta manipular uma variável PHP na URL para que o servidor retorne o caminho absoluto.
O impacto é significativo: conhecer o webroot e a hierarquia de arquivos facilita a localização de arquivos de configuração, scripts e possíveis pontos exploráveis, ampliando as chances de sucessos em ataques subsequentes.
Mitigação: desabilitar display_errors em produção, tratar e registrar internamente os erros, validar/filtrar entradas e aplicar permissões de arquivo restritivas.
Conteúdo do catálogo FC Concursos · Atualizado em