Questão de Segurança da Informação — Análise de Vulnerabilidade e Gestão de Riscos — CESPE / CEBRASPE 2022
Segurança da Informação›Análise de Vulnerabilidade e Gestão de Riscos
Código
ce134520
Banca
CESPE / CEBRASPE
Órgão
DPE-RO
Ano
2022
Nível
Superior
Cargo
Analista da Defensoria Pública - Programação
No desenvolvimento de uma aplicação web, passaram despercebidos alguns fluxos de dados incorretos que têm potencial para gerar um comportamento inadequado e que podem ser explorados como uma falha na segurança no sistema. Esses fluxos de dados estão relacionados a scripts que cruzam diferentes sítios (XSS ou cross-site scripting), onde um hacker, como resposta a uma requisição do cliente ao servidor, pode gerar uma página com mensagem contendo script malicioso.A técnica mais específica para detectar a vulnerabilidade descrita na situação hipotética apresentada é o
Ateste de comportamento de navegação.
Bteste de comutação.
Cteste de injeção de erros.
Dteste baseado em sessões do usuário.
Eteste de aplicações com chamadas assíncronas.
Revelar gabarito e comentário▾
GabaritoC — teste de injeção de erros.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Detecção de Vulnerabilidades Web – XSS
Gabarito: alternativa C. A vulnerabilidade descrita é o Cross-Site Scripting (XSS), que consiste na injeção de scripts maliciosos em páginas web. A técnica mais específica para detectá-la é o teste de injeção de erros (também conhecido como teste de injeção), que consiste em submeter entradas maliciosas para observar como o sistema as processa e se ocorrem erros que revelem falhas de segurança.
Técnicas de teste de segurança web: Teste de injeção de erros (✅ XSS, SQLi) (Submeter entradas maliciosas, Observar processamento e erros); Teste de comportamento de navegação (❌) (Usabilidade e fluxo); Teste de comutação (❌) (Mudanças de estado); Teste baseado em sessões (❌) (Autenticação e sessão); Teste de chamadas assíncronas (❌) (Requisições AJAX)
Alternativa A — ❌ Incorreta
O teste de comportamento de navegação verifica a usabilidade e o fluxo de navegação, mas não é direcionado à detecção de injeção de scripts.
Alternativa B — ❌ Incorreta
Teste de comutação (switch testing) é um termo genérico para testar mudanças de estado em sistemas, sem relação direta com injeção de código.
Alternativa C — ✅ Correta ⟵ GABARITO
O teste de injeção de erros (error injection testing) consiste em fornecer entradas maliciosas — como tags HTML ou JavaScript — para verificar se a aplicação as interpreta indevidamente. É a técnica padrão para detectar vulnerabilidades de injeção, como XSS, SQL Injection, etc.
Alternativa D — ❌ Incorreta
Teste baseado em sessões do usuário foca em problemas de autenticação e gerenciamento de sessão, não em injeção de scripts.
Alternativa E — ❌ Incorreta
Teste de aplicações com chamadas assíncronas (AJAX) pode envolver requisições assíncronas, mas não é específico para XSS; o XSS pode ocorrer tanto em chamadas síncronas quanto assíncronas.
PEGA ESSA DICA!
Em provas de segurança da informação, lembre-se: vulnerabilidades de injeção (XSS, SQLi, etc.) são detectadas por testes de injeção. O termo "injeção de erros" é usado pelo Cespe para se referir a essa técnica.