gestao ti

Vulnerabilidades em aplicações Web

Na informática nada é perfeito. Todas as aplicações têm bugs ou falhas de segurança. As aplicações web não são excepção. Nos tempos que correm, a Internet tem assumido um papel bastante importante na vida das pessoas: os adolescentes falam usando o mais que sobre-lotado MSN, "socializam" através do Hi5, MySpace e espaços semelhantes, mostram as suas criações em comunidades como o deviantART, os "adultos" vêem uns vídeos no YouTube e mandam emails para os amigos. Nesta pequena lista de actividades, a maior parte das pessoas não sabe que poderá estar a ser vítima de um ataque graças a falhas nos sites que está a visitar, falhas essas que muitas vezes se devem a pequenos descuidos do programador. O objectivo deste artigo é elucidar o leitor sobre os tipos de falhas que se descobrem com mais frequência, como funcionam e como as evitar.

As vulnerabilidades que existem em mais abundância na web são:
• Cross site scripting (XSS);
• Falhas de injecção;
• Execução de ficheiros maliciosos;
• Insecure Direct Object Reference;
• Cross site request forgery (CSRF, também conhecido como XSRF);
• Fuga de informação, falhas no handling de erros;
• Quebras de autorização, falhas no handling de sessões;
• Falhas ao arquivar dados sensíveis, uso de "criptografia insegura";
• Ligações não-seguras;
• Falhas na restrição de acesso a URLs.

Falhas XSS e XSRF

Este tipo de falhas consiste em injectar código (normalmente JavaScript ou VBscript) no browser do utilizador, alterando o código da página, podendo assim levar ao roubo de informações. Erros em validações de parâmetros enviados pelo método GET ou POST são o principal motor deste tipo de falha.

Exemplo de código que não faz qualquer tipo de validação aos parâmetros enviados:
Código (PHP): [Seleccione]

Falha de XSS

Pesquisa

Neste caso, o script era inofensivo e limitou-se a