Questão de Arquitetura de Software — Conceitos Básicos em Arquitetura de Software — CESGRANRIO 2023

Neutralização inadequada de entrada (XSS)

Gabarito: letra A. A questão pergunta qual tipo de XSS ocorre quando a injeção é feita pelo cliente, ou seja, no lado do navegador, manipulando o DOM da página – exatamente a definição de DOM-Based XSS.

A banca cobra a distinção entre os três principais tipos de Cross-Site Scripting. A chave é identificar onde a injeção acontece:

• DOM-Based XSS: a vulnerabilidade está no código JavaScript do lado do cliente que processa dados de fontes não confiáveis e os insere dinamicamente no DOM. A injeção ocorre inteiramente no navegador, sem que o servidor participe.

• Reflected XSS: a entrada maliciosa é refletida pelo servidor na resposta HTTP, geralmente em mensagens de erro ou resultados de busca. A injeção acontece no servidor e é refletida de volta ao cliente.

• Stored XSS: o código malicioso é armazenado permanentemente no servidor (banco de dados, fórum, comentários) e executado quando outros usuários acessam a página.

Alternativa A — ✅ Correta ⟵ GABARITO

DOM-Based XSS é exatamente o tipo em que a injeção é realizada no lado do cliente, via manipulação do DOM, sem que o servidor precise reenviar o payload. O atacante explora vulnerabilidades no JavaScript da página (por exemplo, document.write, innerHTML) que processam entradas do usuário.

Alternativa B — ❌ Incorreta

Reflected XSS ocorre quando a entrada do usuário é refletida pelo servidor na resposta HTTP. A injeção não é puramente do cliente – depende de o servidor incluir o payload na resposta. Portanto, não se enquadra na descrição de "cliente realiza a injeção".

Alternativa C — ❌ Incorreta

Stored XSS também depende do servidor: o payload é armazenado (num banco, por exemplo) e posteriormente servido a outros clientes. A injeção não é iniciada pelo cliente que visualiza a página; ela foi persistida anteriormente.

Alternativa D — ❌ Incorreta

CRLF Injection (Injeção de CRLF) não é um tipo de XSS. É uma vulnerabilidade de quebra de linha no cabeçalho HTTP, usada para envenenamento de cache ou sequestro de sessão. Está fora do escopo da classificação de XSS.

Alternativa E — ❌ Incorreta

LDAP Injection é um ataque de injeção em consultas LDAP, também não relacionada a XSS. A pergunta trata especificamente de XSS durante a geração de páginas Web.

Gabarito: letra A.