Simulado Tribunal de Justiça do Estado do Rio de Janeiro - TJ-RJ | Analista Judiciário - Análise de Sistemas | 2019 pre-edital | Questão 442

Segurança da Informação / Ataques a redes de computadores / Tipos de ataques (spoofing, flood, DoS, DDoS, phishing)

Uma fonte de riscos à segurança vem de aplicações que criam consultas dinamicamente, com base em condições de seleção e
atributos de ordenação especificadas em um formulário HTML na web. Por exemplo, uma aplicação pode permitir que um usuário es-
pecifique qual atributo deve ser usado para ordenar os resultados de uma consulta. Uma consulta SQL apropriada é construída com
base no atributo especificado. Suponha que uma aplicação Java obtenha o nome do atributo de um formulário, na variável
atributoOrdem, e crie uma string de consulta como a seguinte:

String query = “Select * from takes order by ” + atributoOrdem;

A situação apresentada acima pode se configurar em

A ) uma vulnerabilidade comum em consultas SQL e não pode causar nenhum dano ao banco de dados, que possui mecanismos próprios para identificar esta fragilidade e impedir ações danosas aos dados.

B ) um ataque do tipo SQL injection e, para evitá-lo, a aplicação deverá garantir que o valor da variável atributoOrdem seja
um dos valores permitidos (nomes de atributos) antes de acrescentá-lo à string.

C ) um ataque do tipo XSF ou falsa solicitação entre sites e, para evitá-lo, a aplicação não pode permitir quaisquer tags HTML
na entrada de texto por parte dos usuários.

D ) um ataque do tipo XSS ou scripting via SQL e, para evitá-lo, a aplicação não pode permitir que um formulário HTML utilize
comandos select com campos preenchidos no site por parte dos usuários.

E ) um ataque do tipo SQL injection e, para evitá-lo, a aplicação deverá garantir que o valor da variável atributoOrdem não
coincida com nenhum nome de atributo antes de acrescentá-lo à string, de forma que a coluna da tabela não possa ser
alterada nem apagada.

Voltar à pagina de tópicos Próxima

Fonte: ANALISTA DE SISTEMAS - ADMINISTRADOR DE BANCO DE DADOS / MPE/PB / 2015 / FCC