Questão de Segurança da Informação — Ataques a Aplicações Web (XSS, CSRF, SQL Injection etc.) — CESPE / CEBRASPE 2025
Segurança da Informação›Ataques a Aplicações Web (XSS, CSRF, SQL Injection etc.)
Código
ce418140
Banca
CESPE / CEBRASPE
Órgão
BDMG
Ano
2025
Cargo
Ana Desen ( )
Julgue o item subsequente, relativo a ataques em aplicações web e ao firewall pfSense.
SSRF (server-side request forgery) é um tipo de falha que ocorre sempre que aplicativos web buscam recursos remotos sem validar a URL fornecida pelo usuário.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoC — Certo
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
SSRF (Server-Side Request Forgery)
✅ CERTO. O item está correto porque reproduz fielmente a definição de SSRF (Server-Side Request Forgery) conforme o OWASP Top 10 (2021), categoria A10: as falhas de SSRF ocorrem sempre que um aplicativo web busca um recurso remoto sem validar a URL fornecida pelo usuário. O enunciado espelha exatamente essa descrição, sem qualquer inversão ou acréscimo que o torne incorreto.
O SSRF é uma vulnerabilidade da camada de aplicação em que o atacante explora a funcionalidade do servidor de buscar recursos remotos (URLs) para forçar o envio de requisições a destinos inesperados — como serviços internos da rede, endereços de loopback (localhost) ou metadados de serviços em nuvem. A falha reside justamente na ausência de validação da URL fornecida pelo usuário: o servidor, ao processar a requisição, acessa o recurso indicado sem verificar se o destino é legítimo ou permitido.
A definição do OWASP Top 10 (2021) é a fonte canônica desse conceito, e o texto do enunciado é praticamente uma transcrição dela. Veja a descrição oficial:
OWASP Top 10 (2021) — A10:2021 – Falsificação de Solicitação do Lado do Servidor (SSRF):
"As falhas do SSRF ocorrem sempre que um aplicativo da Web está buscando um recurso remoto sem validar a URL fornecida pelo usuário. Ele permite que um invasor force o aplicativo a enviar uma solicitação criada para um destino inesperado, mesmo quando protegido por um firewall, VPN ou outro tipo de lista de controle de acesso à rede (ACL)."
A expressão "sempre que" no enunciado é o ponto-chave: ela reflete a literalidade da definição do OWASP, que também usa "sempre que". Isso não configura uma generalização indevida, pois a própria fonte define a vulnerabilidade dessa forma — a ausência de validação da URL é a condição necessária e suficiente para a ocorrência da falha.
Para entender a distinção que a banca pode explorar, é importante comparar o SSRF com outros ataques de aplicação web:
Ataque
Alvo
Mecanismo
SSRF
Servidor (backend)
Força o servidor a buscar recursos remotos sem validar a URL
CSRF
Usuário autenticado
Força o navegador da vítima a enviar requisições indesejadas a um site em que ela está autenticada
XSS
Usuário (navegador)
Injeta scripts maliciosos executados no navegador da vítima
SQL Injection
Banco de dados
Manipula entradas para executar instruções SQL não autorizadas
A pegadinha que a banca poderia explorar seria trocar o SSRF pelo CSRF (Cross-Site Request Forgery), pois ambos envolvem "requisições forjadas". No entanto, o CSRF explora a confiança que um site tem no navegador do usuário, enquanto o SSRF explora a confiança que o servidor deposita nas URLs fornecidas pelo usuário. Nesta questão, o enunciado descreve corretamente o SSRF, sem cair nessa confusão.
NÃO CAIA NESSA!
A banca poderia tentar confundir SSRF com CSRF, já que ambos envolvem "requisições forjadas". A diferença crucial: no SSRF, o servidor é enganado a buscar um recurso remoto sem validar a URL; no CSRF, o navegador da vítima é enganado a enviar requisições a um site em que ela está autenticada. O enunciado descreve exatamente o SSRF — não caia na troca!