As vulnerabilidades em aplicações da Web são brechas, erros. falhas e falta de filtros em um firewall de aplicação web e no servidor web, também conhecidas como bugs; As vulnerabilidades mais exploradas nos dias de hoje são as do tipo buffer overflow por exploits, que muitas vezes pode dar privilégios de administrador para o invasor, rodar códigos maliciosos remotamente, burlar particularidades de cada sistema, ataques de Negação de Serviços (DDoS), e acesso restrito ao sistema e programas.
Com a crescente globalização e com a utilização em larga escala da internet, cada vez mais interativa, o usuário se vê cercado de facilidades no mundo digital. Hoje os sites estão cada vez mais dinâmicos e interativos gerando uma troca de informações entre servidores e usuários e é aí que mora o perigo para pessoas leigas. Os hackers invadem um servidor web e podem implantar códigos maliciosos e redirecionar o usuários para sites falsos e ali pegar os seus dados ou fazer qualquer outra coisa maliciosa. Ora, muitas vezes uma simples atualização dos sistemas por uma versão mais nova já resolve muitos problemas de segurança.
Os ataques estão cada vez mais utilizando de métodos automatizados de exploração de vulnerabilidades, tendo como principal causa dessas vulnerabilidades a falta de validação correta dos campos de entrada das aplicações Web. Neste caso o usuário pode inserir dados arbitrários juntamente com códigos maliciosos. Isso acontece principalmente por imaturidade ou desconhecimento em segurança por parte dos desenvolvedores, as restrições de recursos, a falta de tempo e o uso incorreto das tecnologias.
Tipos de vulnerabilidades de segurança mais críticas em aplicações Web
Cross Site Scripting (XSS)
Os furos XSS ocorrem sempre que uma aplicação obtém as informações fornecidas pelo usuário e as envia de volta ao navegador sem realizar validação ou codificação daquele conteúdo. O XSS permite aos atacantes executarem scripts no navegador da vítima, o qual pode roubar sessões de usuário, pichar sites Web, introduzir worms, etc.
Falhas de Injeção
As falhas de injeção, em especial SQL Injection são comuns em aplicações Web. A injeção ocorre quando os dados fornecidos pelo usuário são enviados a um interpretador com parte do comando ou consulta. A informação malicioso a fornecida pelo atacante engana o interpretador que irá executar comandos mal intencionados ou manipular informações.
Referências
