Questão FC483608
Julgue o próximo item, relativo a vulnerabilidades em aplicações web e suas características. Um dos tipos de ataques que permite o sequestro de sessão em uma aplicação envolve roub
Ameaças aos Sistemas Computacionais
CEBRASPE (CESPE) · 2024
Julgue o próximo item, relativo a vulnerabilidades em aplicações web e suas características.
Um dos tipos de ataques que permite o sequestro de sessão em uma aplicação envolve roubar o cookie de sessão do usuário, localizar o ID da sessão dentro do cookie e usar essas informações para assumir o controle da sessão.
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
A afirmação está correta porque descreve o ataque conhecido como sequestro de sessão (session hijacking): o invasor obtém o cookie de sessão, extrai o ID da sessão e passa a apresentar esse identificador ao servidor como se fosse o usuário legítimo.
Na prática, o servidor associa o ID da sessão a um estado autenticado. Se o atacante envia esse mesmo ID, o servidor reconhece a sessão e concede acesso sem nova autenticação.
Vetores comuns incluem XSS que lê cookies, interceptação em redes HTTP sem TLS (sniffing), malware ou acesso físico. IDs previsíveis ou fixation facilitam o ataque.
Mitigações essenciais: usar TLS, flags HttpOnly, Secure e SameSite nos cookies, regenerar o ID após login, expiração curta e validações adicionais (IP/user‑agent, tokens CSRF).
Conteúdo do catálogo FC Concursos · Atualizado em