Questão de Segurança da Informação — Ataques a Aplicações Web (XSS, CSRF, SQL Injection etc.) — CESPE / CEBRASPE 2025
Segurança da Informação›Ataques a Aplicações Web (XSS, CSRF, SQL Injection etc.)
Código
ce418188
Banca
CESPE / CEBRASPE
Órgão
STM
Ano
2025
Cargo
AJ ( )
Julgue o seguinte item, relativos a CSRF (cross-site request forgery), testes de invasão e segurança de aplicativos web.
Em um ataque CSRF, o navegador de um usuário autenticado pode ser induzido a realizar ações maliciosas no sistema do usuário sem o conhecimento deste.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoC — Certo
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
CSRF (Cross-Site Request Forgery)
✅ CERTO. A afirmação está correta: no ataque CSRF, o navegador de um usuário autenticado é induzido a realizar ações maliciosas sem o conhecimento do usuário, explorando a confiança que o site deposita no navegador da vítima. O ataque aproveita a sessão já autenticada para enviar requisições forjadas, como transferências bancárias ou alterações de senha, sem que a vítima perceba.
O CSRF (Cross-Site Request Forgery), também chamado de falsificação de solicitação entre sites, é um tipo de ataque que explora a confiança que uma aplicação web tem no navegador do usuário. Diferentemente do XSS (Cross-Site Scripting), que explora a confiança que o usuário deposita em um site, o CSRF engana o navegador para que ele envie requisições HTTP indesejadas a um site no qual o usuário já está autenticado. O atacante não precisa roubar dados nem quebrar a autenticação: ele apenas "cavalga" a sessão legítima da vítima.
Na prática, o ataque funciona assim: o usuário autenticado visita uma página maliciosa (ou um e-mail com HTML) que contém, por exemplo, uma tag de imagem ou um formulário oculto apontando para uma ação sensível no site alvo — como uma transferência bancária. Como o navegador envia automaticamente os cookies de sessão junto com a requisição, o servidor processa a ação como se fosse legítima, sem que o usuário tenha consentido ou sequer percebido. O exemplo clássico é o de um usuário logado em seu banco que, ao abrir uma página maliciosa, dispara uma transferência para a conta do atacante.
A característica central do CSRF é que ele não busca obter informações ou roubar dados, mas sim forçar a vítima a realizar ações indesejadas em aplicações web nas quais está autenticada. Por isso, o alvo típico são funcionalidades que causam mudanças de estado no servidor, como alteração de e-mail, troca de senha, compras ou transferências. A prevenção mais comum é o uso de tokens anti-CSRF, que validam se a requisição foi originada de um formulário legítimo da própria aplicação, além de outras medidas como limitar o tempo de vida dos cookies de sessão e utilizar HSTS.
A pegadinha que a banca explora neste tema é a confusão entre CSRF e XSS. Enquanto o XSS injeta scripts maliciosos que são executados no navegador da vítima (explorando a confiança do usuário no site), o CSRF forja requisições aproveitando a sessão já autenticada (explorando a confiança do site no navegador). Guarde essa distinção: XSS = o site confia no usuário; CSRF = o site confia no navegador. É exatamente essa fronteira que separa os dois ataques e que a banca costuma inverter nas alternativas.
CSRF (Cross-Site Request Forgery): Explora a confiança do site no navegador; Mecanismo (Usuário autenticado visita página maliciosa, Navegador envia cookies de sessão automaticamente, Servidor processa ação como legítima); Objetivo (Forçar ações indesejadas (mudança de estado), Ex.: transferência, troca de senha); Prevenção (Tokens anti-CSRF, Limitar tempo de vida dos cookies, HSTS); Diferença do XSS (XSS: site confia no usuário, CSRF: site confia no navegador)
Item — ✅ Correto ⟵ GABARITO
A afirmativa descreve com precisão o mecanismo do CSRF: o navegador do usuário autenticado é induzido a realizar ações maliciosas sem o conhecimento do usuário. Isso ocorre porque o ataque explora a confiança que o site tem no navegador, aproveitando a sessão já aberta para enviar requisições forjadas. O item está certo.