Questão 116 · Informática: Segurança da informação
A partir dos conceitos relacionados a OWASP TOP 10, julgue o item a seguir.
O SSRF (server-side request forgery) só pode ser explorado se o atacante tiver credenciais administrativas no servidor de destino, pois ele depende de permissões elevadas para realizar requisições internas e externas.
Julgue o item:
Gabarito: ERRADO
Gabarito definitivo divulgado pela banca Cebraspe (TRF6 2025).
Comentário
Gabarito: ERRADO.
O item afirma incorretamente que o SSRF (Server-Side Request Forgery) "só pode ser explorado se o atacante tiver credenciais administrativas no servidor de destino". Na verdade, uma das características mais perigosas do SSRF é justamente o fato de que ele não exige credenciais administrativas ou qualquer tipo de autenticação prévia por parte do atacante. Um ataque SSRF ocorre quando um atacante consegue fazer com que o servidor de uma aplicação web realize requisições HTTP arbitrárias para um local de sua escolha, seja interno (na rede privada do servidor) ou externo (para outros servidores na internet). Isso é geralmente explorado através de funcionalidades da aplicação que processam URLs fornecidas pelo usuário, como a importação de dados de uma URL externa ou a geração de miniaturas de imagens. O servidor, ao processar a URL maliciosa, age como um proxy para o atacante, permitindo o acesso a recursos que, de outra forma, seriam inacessíveis diretamente pelo atacante.
Fundamentos: OWASP Top 10 - 2021 (A10:2021-Server-Side Request Forgery (SSRF))
Comentário gerado pela Cravei IA a partir do enunciado e do gabarito definitivo divulgado pela banca, e conferido por uma verificação automática. A IA pode errar: o gabarito oficial sempre prevalece.
Fonte: prova Cebraspe TRF6 2025 (Analista Judiciário – Área: Apoio Especializado – Especialidade: Análise de Sistemas de Informação), questão 116, com o gabarito definitivo da banca. Comentário: Equipe Cravei · como fazemos e revisamos.