Pular para o conteúdo principal

Questão de Segurança da Informação — Ataques e ameaças — VUNESP 2024

Segurança da InformaçãoAtaques e ameaças
Código
vu088390
Banca
VUNESP
Órgão
UNESP
Ano
2024
Nível
Superior
Cargo
V - - ssistente de Suporte Acadêmico assistente de suporte Acadêmico IV - Área de Atuação: Computação de Alto Desempenho e Computação em Nuvem
Um firewall do tipo WAF oferecido por um provedor de serviços de nuvem apresenta regras padrões de configuração que podem ser usadas para defesa contra tipos específicos de ataque. Um desses tipos de ataque é conhecido como Remote File Inclusion, o qual consiste
  1. Aem fazer uma aplicação web baixar arquivos de código-fonte maliciosos e possivelmente executá-los no servidor
  2. Bna injeção de código SQL por meio de formulários web.
  3. Cno “sequestro” (hijacking) de uma sessão ativa de uma aplicação web de outro usuário.
  4. Dem sobrecarregar um servidor web pelo envio de muitos arquivos remotos simultaneamente por meio de formulários de páginas HTML vulneráveis, possivelmente tirando o serviço do ar.
  5. Eem introduzir código malicioso client-side em uma página web, com a expectativa de que esse código seja executado no navegador de um usuário vítima quando a página é acessada.
Revelar gabarito e comentário

GabaritoA — em fazer uma aplicação web baixar arquivos de código-fonte maliciosos e possivelmente executá-los no servidor

Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.

Remote File Inclusion (RFI)

Gabarito: letra A. Remote File Inclusion (RFI) é um ataque que explora vulnerabilidades em aplicações web para fazer o servidor baixar e executar arquivos remotos maliciosos, exatamente como descrito na alternativa A. As demais alternativas descrevem outros tipos de ataque: SQL Injection, Session Hijacking, DoS (sobrecarga) e XSS (Cross-Site Scripting).

Remote File Inclusion (RFI)
  • 1O que é
    • Aplicação baixa arquivo remoto malicioso
    • Executa no servidor
    • Ex.: PHP (include/require sem validação)
  • 2Distinções
    • LFI (Local File Inclusion)
      • Arquivo já no servidor
    • XSS (Cross-Site Scripting)
      • Script no navegador (client-side)
    • SQL Injection
      • Comandos SQL no banco
    • Session Hijacking
      • Sequestro de sessão ativa
    • DoS (sobrecarga)
      • Derruba serviço, não executa código
LEVEL · soulevel.com.br

Alternativa A — ✅ Correta ⟵ GABARITO

A definição está correta: o RFI consiste em induzir a aplicação web a incluir um arquivo remoto (geralmente contendo código malicioso) e executá-lo no servidor. É uma vulnerabilidade comum em linguagens como PHP quando funções de inclusão de arquivos (ex.: include(), require()) são usadas com dados fornecidos pelo usuário sem validação adequada.

Alternativa B — ❌ Incorreta

Descreve SQL Injection, que é a injeção de comandos SQL em consultas ao banco de dados, não a inclusão de arquivos remotos.

Alternativa C — ❌ Incorreta

Descreve Session Hijacking (sequestro de sessão), onde o atacante assume uma sessão ativa de outro usuário, não a inclusão de arquivos remotos.

Alternativa D — ❌ Incorreta

Descreve um ataque de negação de serviço (DoS) por sobrecarga de uploads, não RFI. Apesar de envolver envio de arquivos, o objetivo do RFI é executar código, não derrubar o serviço.

Alternativa E — ❌ Incorreta

Descreve Cross-Site Scripting (XSS), ataque que injeta scripts maliciosos no lado do cliente (navegador), enquanto o RFI ocorre no lado do servidor.

PEGA ESSA DICA!

Para memorizar, lembre que RFI envolve inclusão remota de arquivos executados no servidor. Distinga de LFI (Local File Inclusion, que inclui arquivos já no servidor) e de XSS (que executa no navegador). Na prova, leia atentamente a ação descrita: se for baixar/executar algo no servidor, é RFI; se for script no navegador, é XSS.

Link permanente: /questoes/vu088390