Questão FC546481
Um sistema de consulta a registros de rede, disponível em uma intranet corporativa, recebe parâmetros de entrada a partir de requisições HTTP e utiliza-os na composição de comandos
Ameaças aos Sistemas Computacionais
CEBRASPE (CESPE) · 2025
Um sistema de consulta a registros de rede, disponível em uma intranet corporativa, recebe parâmetros de entrada a partir de requisições HTTP e utiliza-os na composição de comandos de consulta ao seu repositório de dados. Durante um teste de vulnerabilidades relacionadas a ataques contra aplicações, a seguinte entrada foi fornecida por um programa testador no parâmetro de consulta de endereço IP da aplicação:
10.0.0.1'; DELETE FROM registros; --
Após o envio da requisição, um comportamento indesejado ocorreu e verificou-se que o artifício poderia ser objetivamente usado em um ataque real. Em relação à situação hipotética apresentada, assinale a opção correta.
- O ataque foi viabilizado por uma falha do sistema operacional relacionada ao controle de permissões de arquivos temporários, o que permitiu a execução arbitrária de comandos de manipulação de dados pelo usuário remoto.
- A vulnerabilidade decorre do uso de interpolação textual sem mecanismos de separação lógica entre dados e comandos, o que permite a injeção de código no interpretador de consultas.
- O ataque caracteriza uma parametrização adicional indevida, viabilizada pela ausência de isolamento entre a camada de rede e o sistema operacional.
- O uso do método HTTP para envio de dados é incorreto, o que impede o tratamento seguro de entradas potencialmente maliciosas.
- A entrada fornecida manipula a lógica booleana da cláusula de filtragem, o que resulta em uma condição sempre falsa e instrui incorretamente o sistema sobre como manusear os dados.
Mostrar resposta e comentário
Gabarito
B
Comentário do professor
A alternativa indica corretamente que a falha é causada por uso de interpolação textual sem mecanismo de separação lógica entre dados e comandos, permitindo injeção de código no interpretador de consultas.
Na prática o invasor envia, por exemplo, 10.0.0.1'; DELETE FROM registros; --. O apóstrofo encerra a string esperada, o ponto-e-vírgula inicia outro comando SQL e -- transforma o restante em comentário, de modo que o banco execute instruções maliciosas.
O risco inclui execução de comandos arbitrários, exclusão ou exfiltração de dados e perda de integridade. A correção exige uso de prepared statements ou consultas parametrizadas, validação/normalização das entradas e privilégios mínimos ao usuário do BD.
Conteúdo do catálogo FC Concursos · Atualizado em