Questão 50 · Informática: Malware e ataques
SQL Injection é uma técnica de ataque na qual o invasor se aproveita de falhas em aplicativos web que interagem com bases de dados para inserir uma instrução SQL personalizada e indevida.
Para evitar essa ameaça de segurança, é necessário:
- A) utilizar expressões regulares para cifrar as variáveis enviadas para o sistema;
- B) concatenar diretamente o input do usuário com a consulta SQL;
- C) encapsular as entradas de dados dentro de aspas simples ao montar dinamicamente consultas SQL;
- D) retornar no corpo das respostas HTTP as mensagens de erro em bancos de dados;
- E) validar todas as entradas de dados, como formulários ou URL da aplicação.
Marque a alternativa correta:
Gabarito: E
Gabarito definitivo divulgado pela banca FGV (BANESTES 2021).
Comentário
Gabarito: E.
SQL Injection ocorre quando a entrada do usuário é incorporada à consulta sem tratamento. Uma defesa necessária é validar todas as entradas (formulários, parâmetros de URL, cabeçalhos), idealmente com consultas parametrizadas e listas de valores aceitos.
- (A) expressões regulares para cifrar: expressões regulares servem para validar padrões, e não para cifrar variáveis.
- (B) concatenar o input: é justamente a causa da vulnerabilidade.
- (C) aspas simples: não impedem a injeção, pois o invasor pode inserir a própria aspa na entrada e escapar do delimitador.
- (D) mensagens de erro: exibir erros do banco nas respostas HTTP vaza informações e facilita o ataque; o correto é não expô-las.
Dica: contra SQL Injection, valide as entradas e use consultas parametrizadas; nunca concatene dados do usuário na consulta nem exponha erros do banco.
Fundamentos: SQL Injection · validação de entradas · segurança de aplicações web
Comentário gerado pela Cravei IA a partir do enunciado e do gabarito definitivo divulgado pela banca, e conferido por uma verificação automática. A IA pode errar: o gabarito oficial sempre prevalece.
Fonte: prova FGV BANESTES 2021 (Segurança da Informação), questão 50, com o gabarito definitivo da banca. Comentário: Equipe Cravei · como fazemos e revisamos.