Questão FC406903
Analistas do TCE-RR utilizavam uma plataforma web interna para registrar auditorias. Durante a análise de segurança, foi detectado que áreas de entrada de texto na plataforma, usad
Ameaças aos Sistemas Computacionais
FGV · 2025
Analistas do TCE-RR utilizavam uma plataforma web interna para registrar auditorias. Durante a análise de segurança, foi detectado que áreas de entrada de texto na plataforma, usadas para registrar observações em relatórios, continham código malicioso armazenado no servidor.
Esse código era executado automaticamente no navegador de qualquer funcionário que visualizasse os relatórios, redirecionando-os para sites fraudulentos.
Nesse contexto, o ataque foi identificado como
- injeção de código em XML (XML Injection).
- injeção de código por buffer overflow.
- Cross-Site Scripting (XSS) persistente.
- Cross-Site Scripting (XSS) refletido.
- Cross-Site Scripting (XSS) baseado em DOM.
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
O Cross-Site Scripting (XSS) persistente, também chamado XSS armazenado, ocorre quando um atacante injeta código malicioso (por exemplo, JavaScript) em campos de entrada que são armazenados no servidor e exibidos posteriormente para outros usuários sem tratamento adequado.
Ao abrir o relatório comprometido, o navegador de qualquer funcionário executa esse código no contexto do domínio legítimo, permitindo ações como redirecionamentos para páginas fraudulentas, captura de cookies/sessões (furto de credenciais) ou execução de operações em nome do usuário.
Chama‑se persistente porque o payload permanece no sistema e afeta todos os que visualizam o conteúdo, sem necessidade de iscas individuais.
Mitigação: validar e sanitizar entradas no servidor, aplicar codificação de saída (HTML-escape), usar Content Security Policy (CSP) e realizar testes de segurança periódicos.
Conteúdo do catálogo FC Concursos · Atualizado em