Uma maneira de evitar ataques do tipo SQL Injection em
aplicações web, por parte do desenvolvedor, consiste em

Question

Uma maneira de evitar ataques do tipo SQL Injection em
aplicações web, por parte do desenvolvedor, consiste em Alternativa A: utilizar queries parametrizadas na programação da
aplicação, por meio das quais código SQL é definido de forma separada dos valores usados como
parâmetros. Ou Alternativa B: instalar um antivírus no computador que executa o
servidor web. Ou Alternativa C: substituir o uso do protocolo HTTP por HTTPS, caso
o HTTP ainda seja usado, garantindo que a comunicação nas requisições e respostas sejam encriptadas. Ou Alternativa D:  não utilizar JavaScript no desenvolvimento do
website. Ou Alternativa E: evitar o uso de sistemas gerenciadores de bancos de
dados relacionais (SGBDRs) gratuitos, dando preferência ao uso de SGBDRs pagos.

Qconcursos · Accepted Answer

Alternativa [A] utilizar queries parametrizadas na programação da
aplicação, por meio das quais código SQL é definido de forma separada dos valores usados como
parâmetros. Gabarito: AFundamento decisivo: A questão cobrava a medida de desenvolvimento seguro indicada pelo enunciado: a prevenção de SQL Injection no código da aplicação por consultas parametrizadas.Tema central: Prevenção de SQL InjectionAnálise das alternativasACertaA alternativa A está correta porque descreve o procedimento adequado de desenvolvimento seguro para esse tipo de ataque: definir a instrução SQL separadamente dos valores fornecidos pela entrada, por meio de queries parametrizadas/prepared statements. Esse é o critério técnico diretamente ligado à causa do SQL Injection, que é o uso inseguro de entradas na construção de comandos SQL.BErradaInstalar antivírus no servidor web não corrige a vulnerabilidade de programação que permite SQL Injection. O problema não é malware no servidor, mas a construção insegura de consultas SQL na aplicação.CErradaHTTPS protege a comunicação em trânsito com criptografia, mas isso não impede que a aplicação receba dados e os use de forma insegura na montagem de comandos SQL. Portanto, trata de segurança de transporte, não da causa da injeção.DErradaNão usar JavaScript não é medida de prevenção de SQL Injection. A vulnerabilidade está no tratamento da entrada e na interação da aplicação com o banco de dados, não na simples presença de uma tecnologia de front-end.EErradaEscolher SGBDR pago em vez de gratuito não previne SQL Injection. A vulnerabilidade depende da forma como a aplicação constrói e executa as consultas, e não do modelo comercial do banco de dados.Pegadinha da questãoA questão explorou a confusão entre vulnerabilidade de aplicação e controles que atuam em outras camadas, como HTTPS no transporte, antivírus no servidor, tecnologia de front-end ou tipo comercial do SGBD.Dica para questões semelhantesEm SQL Injection, a prevenção no desenvolvimento é separar comando SQL e dados de entrada por consultas parametrizadas.

Uma maneira de evitar ataques do tipo SQL Injection em apl...

Gabarito comentado

Gabarito: A

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas