1. Sobre o OWASP Prefcio O software inseguro j est minando as nossas infraestruturas financeiras, da sade, da defesa, da energia e outras infraestruturas crticas. medida que nossa infraestrutura digital fica cada vez mais complexa e interligada, a dificuldade na construo de aplicaes seguras aumenta exponencialmente. No possvel mais tolerar os problemas de segurana relativamente simples como os que so apresentados no Top 10 da OWASP. O objetivo do projeto Top 10 o de aumentar a conscientizao sobre a segurana de aplicaes atravs da identificao de alguns dos riscos mais crticos que as organizaes enfrentam. O projeto Top 10 referenciado por muitas normas, livros, ferramentas e organizaes, incluindo MITRE, PCI DSS, DISA, FTC, e muitas outras. Esta verso do Top 10 da OWASP marca o oitavo ano deste projeto na sua misso de conscientizao para importncia dos riscos de segurana aplicacional. O Top 10 da OWASP foi lanado inicialmente em 2003, e pequenas atualizaes foram realizadas em 2004 e 2007, e esta a verso 2010. Ns encorajamos a utilizao do Top 10 para que as organizaes criem e utilizem aplicaes seguras. Programadores podem aprender com os erros de outras organizaes. Executivos podem comear a pensar sobre como gerir o risco que aplicaes de software criam em suas empresas. No entanto, o Top 10 no um programa de segurana de aplicaes. Indo mais alm, a OWASP recomenda que as organizaes estabeleam uma base slida de formao, normas e ferramentas que tornem a programao segura possvel. No topo dessa fundao, as empresas podem integrar a segurana nos seus processos de desenvolvimento, verificao e manuteno. A gesto pode usar os dados provenientes dessas atividades para gerir os custos e riscos associados segurana aplicacional. Esperamos que o Top 10 da OWASP seja til para seus esforos de segurana em aplicaes. Por favor, no hesite em contactar a OWASP com as suas perguntas, comentrios e ideias, tanto de forma pblica para OWASP-TopTen@lists.owasp.org ou privada para dave.wichers@owasp.org. https://www.owasp.org/index.php/Top_10 Sobre a OWASP O Open Web Application Security Project (OWASP) uma comunidade aberta, dedicada a capacitar organizaes a desenvolver, adquirir e manter aplicaes que podem ser confiveis. Na OWASP voc encontrar de forma livre e aberta: Ferramentas e padres de segurana de aplicaes Livros sobre testes de segurana aplicacional, desenvolvimento de cdigo seguro e reviso de segurana de cdigo Controles e bibliotecas de segurana padres Captulos locais espalhados por todo o mundo Pesquisas de ponta Diversas conferncias no mundo todos Listas de discusso E mais... tudo em www.owasp.org Todas as ferramentas, documentos, fruns e captulos da OWASP so livres e abertos participao de todos os interessados na melhoria da segurana de aplicaes. Ns defendemos a abordagem segurana

2. aplicacional como sendo um problema de pessoas, processos e tecnologia, porque as abordagens mais eficazes necessitam de melhorias em todas estas reas. A OWASP um novo tipo de organizao. Nossa liberdade de presses comerciais permite-nos o fornecimento de informao imparcial, prtica e de baixo custo sobre segurana aplicacional. A OWASP no afiliada de nenhuma empresa de tecnologia, apesar de apoiar o uso informado de tecnologia comercial de segurana. Da mesma forma que muitos projetos de software de cdigo aberto, a OWASP produz diversos tipos de materiais de uma maneira aberta e colaborativa. A fundao OWASP uma entidade sem fins lucrativos que garante o sucesso do projeto a longo prazo. Quase todos os associados com a OWASP so voluntrios, incluindo a Direo da OWASP, as Comits Globais, os Lderes de Captulos, os Lderes de Projetos e os Membros de Projetos. Apoiamos pesquisas inovadoras em segurana com bolsas e infraestrutura. Junte-se a ns! 3. Introduo Bem-Vindo Bem-vindo ao Top 10 da OWASP de 2010! Esta importante atualizao, mais concisa e focada nos riscos, apresenta uma lista dos 10 Riscos Mais Crticos de Segurana em Aplicaes Web. O Top 10 da OWASP sempre foi sobre riscos, mas esta atualizao torna isto mais claro do que edies anteriores. E tambm fornece informaes adicionais de como avaliar estes riscos nas suas aplicaes. Para cada item deste Top 10, esta edio discute a probabilidade de ocorrncia geral e as suas consequncias usadas para categorizar a gravidade do risco. Depois fornece orientaes de como verificar se voc tem problemas nesta rea, como evit-los, alguns exemplos de falhas e links para recursos que fornecem informaes adicionais. O objetivo principal do Top 10 da OWASP educar programadores, designers, arquitetos e organizaes acerca das consequncias das mais importantes deficincias de segurana em aplicaes web. O Top 10 fornece ainda mtodos bsicos de proteo contra reas de problemas de alto risco - e tambm fornece orientaes sobre onde ir a partir daqui. Avisos No pare no 10. H centenas de questes que podero afetar a segurana geral de uma aplicao web, como discutido no OWASP Developer's Guide. Esta uma leitura essencial para qualquer um que desenvolva aplicaes web. Orientaes sobre como encontrar de forma efetiva vulnerabilidades em aplicaes web so fornecidas no OWASP Testing Guide e OWASP Code Review Guide. Estes dois manuais tm sido atualizados de forma considervel desde a ltima edio do Top 10 da OWASP. Alteraes constantes. Este Top 10 ser continuamente modificado. Mesmo sem alterar uma linha do cdigo, a sua aplicao pode estar vulnervel a algum risco que no tenha sido previamente identificado. Por favor, reveja o conselho no final deste documento em Onde ir a partir de agora para mais informaes. Pense positivo. A OWASP produziu o Application Security Verification Standard (ASVS) para quando tiver acabado de procurar vulnerabilidades e decidir focar em estabelecer fortes controles de segurana nas suas aplicaes. Este documento serve de guia de verificao para organizaes e revisores de cdigo fonte. Utilize as ferramentas de uma forma inteligente. As vulnerabilidades de segurana podero ser bastante complexas e enterradas em montanhas de cdigo. Na maioria do casos, a abordagem com a maior relao custo-benefcio para encontr-las e elimin-las , quase sempre, envolvendo especialistas humanos capazes e equipados com as melhores ferramentas. Considere uma mudana de rumo. As aplicaes Web seguras apenas so possveis quando um ciclo de vida de desenvolvimento seguro de software for utilizado. Para aconselhamentos sobre como implementar um SLDC (Software Development LifeCycle) ns lanamos recentemente o Open Software Assurance Maturity Model (SAMM) que uma grande atualizao do OWASP CLASP Project. Agradecimentos Obrigado Aspect Security por ter iniciado, liderado e atualizado o Top 10 da OWASP deste a sua concepo em 2003. Igualmente o nosso obrigado aos seus principais autores: Jeff Williams e Dave Wichers. Queremos ainda agradecer s organizaes que contriburam com os seus dados de prevalncia de vulnerabilidades para esta atualizao de 2010: Aspect Security MITRE CVE 4. Softtek WhiteHat Security Inc. Statistics Por fim os nossos agradecimentos vo para quem contribuiu com contedos significativos ou despendeu tempo a rever esta atualizao do Top 10: Mike Boberski (Booz Allen Hamilton) Juan Carlos Calderon (Softtek) Michael Coates (Aspect Security) Jeremiah Grossman (WhiteHat Security Inc.) Jim Manico (por todos os podcasts sobre o Top 10) Paul Petefish (Solutionary, Inc.) Eric Sheridan (Aspect Security) Neil Smithline (OneStopAppSecurity.com) Andrew van der Stock Colin Watson (Watson Hall, Ltd.) OWASP Denmark Chapter (Led by Ulf Munkedal) OWASP Sweden Chapter (Led by John Wilander) 5. Notas da verso O que mudou de 2007 para 2010? O horizonte de ameaas para aplicaes de Internet muda constantemente. Fatores chaves desta evoluo so os avanos feitos pelos atacantes, lanamento de novas tecnologias e o aumento significativo da complexidade dos sistemas. De forma a manter o ritmo, ns atualizamos o Top 10 periodicamente. Nesta edio de 2010, fizemos trs alteraes significativas: 1) Ns esclarecemos que o Top 10 sobre os 10 Riscos mais importantes, e no das 10 falhas mais comuns. Veja os detalhes em "Riscos de Segurana de Aplicaes", abaixo. 2) Ns alteramos a nossa metodologia de classificao de forma a estimar o risco associado em vez de depender somente da frequncia da ocorrncia da falha. Esta alterao afeta a ordem do Top 10 como poder ser observado na tabela que a seguir. 3) Substitumos dois itens da lista com dois novos itens: + ACRESCENTADO: A6 Configurao Incorreta de Segurana. Este item era o A10 no Top 10 de 2004: Gesto de Configuraes Inseguras, mas foi abandonado porque no foi considerado como uma questo relacionada com o software. No entanto, do ponto de vista dos riscos de uma organizao e de uma perspectiva de prevalncia, claramente merece estar includo nesta lista estando desta forma de volta ao Top 10. + ACRESCENTADO: A8 - Redirecionamentos e Encaminhamentos No Validados. Este item est a entrar no Top 10 pela primeira vez. Esta evidncia mostra-nos que embora o risco associado seja relativamente desconhecido, est a espalhar-se e poder provocar danos significativos. - REMOVIDO: A3 - Execuo de Arquivos Maliciosos. Este ainda um problema significativo em vrios ambientes. Contudo, a sua prevalncia no Top 10 de 2007 foi inflacionado por aplicaes desenvolvidas em PHP. O PHP atualmente distribudo com mais segurana na sua configurao por omisso, fazendo baixar a relevncia e prevalncia deste item. - REMOVIDO: A6 Vazamento de Informao e Tratamento Incorreto de Erros. Embora este risco seja bastante dominante, o impacto da divulgao do stack trace e da informao de mensagens de erro tipicamente mnima. Com a adio do A6 - Configurao Incorreta de Segurana este ano, configuraes de tratamento de erros apropriadas uma grande parte da configurao segura das aplicaes e servidores. OWASP Top 10 2007 (Anterior) OWASP Top 10 2010 (Novo) A2 - Falhas de Injeo A1 Injeo A1 Cross Site Scripting (XSS) A2 Cross Site Scripting (XSS) A7 Quebra da Autenticao e da Gesto de Sesses A3 Quebra da Autenticao e da Gesto de Sesses A4 Referncia Insegura e Direta a Objetos A4 Referncia Insegura e Direta a Objetos A5 - Cross Site Request Forgery (CSRF) A5 - Cross Site Request Forgery (CSRF) A6 - Configurao Incorreta de Segurana (Novo) A8 - Armazenamento Criptogrfico Inseguro A7 - Armazenamento Criptogrfico Inseguro A10 - Falha na Restrio de Acesso a URL A8 - Falha na Restrio de Acesso a URL 6. OWASP Top 10 2007 (Anterior) OWASP Top 10 2010 (Novo) A9 - Comunicaes Inseguras A9 - Fraca Proteo na Camada de Transporte A10 - Redirecionamentos e Encaminhamentos Invlidos (Novo) A3 - Execuo de Arquivos Maliciosos A6 - Vazamento de Informao e Tratamento Incorreto de Erros 7. Riscos de Segurana de Aplicaes O que so riscos de Segurana de Aplicaes? Os atacantes podem potencialmente recorrer a muitos caminhos diferentes atravs da sua aplicao de forma a poderem causar danos ao seu negcio ou sua organizao. Cada um destes caminhos representa um risco que poder ser, ou no, suficientemente srio para necessitar a sua ateno. s vezes, estes caminhos so fceis de encontrar e de explorar, outras vezes, so extremamente difceis. De forma semelhante, os danos causados podem variar do nada at uma situao em que podem colocar o seu negcio em risco total. Para determinar o risco para a sua organizao, voc pode avaliar a probabilidade associada ao agente de ameaa, o vetor do ataque e a vulnerabilidade de segurana e combinar estes elementos com a estimativa de impacto tcnico e de negcio para sua organizao. Os elementos referidos, todos juntos, determinam o risco total. Qual o meu risco? Esta atualizao do Top 10 da OWASP foca na identificao dos riscos mais srios para um leque variado de organizaes. Para cada um destes riscos fornecida informao genrica acerca da probabilidade e do impacto tcnico usando o esquema de avaliao baseado na Metodologia de Classificao de Riscos da OWASP. Agente de Ameaa Vetor de Ataque Prevalncia da Vulnerabilidad e Facilidade de Deteco Impacto Tcnico Impacto no Negcio ? Fcil Generalizada Fcil Severo ?Mdio Comum Mdio Moderado Difcil Pouco comum Difcil Menor No entanto, apenas voc conhece as especificidades do seu ambiente e do seu negcio. Para cada aplicao, pode nem existir um agente de ameaa que possa realizar um ataque relevante ou o impacto tcnico do mesmo pode nem ser muito significativo. Assim, voc ter que avaliar cada risco por si prprio, tendo em especial ateno os agentes de ameaa, os controles de segurana e o impacto no negcio na sua empresa. Embora as edies anteriores do Top 10 da OWASP se tenham centrado na identificao das vulnerabilidades mais comuns, estas foram igualmente concebidas em torno do risco. Os nomes dos riscos no Top 10 derivam do tipo de ataque, do tipo de vulnerabilidade, ou do tipo de impacto causado. Ns escolhemos o nome mais popular de forma a alcanar um nvel mais elevado de conscientizao. Referncias OWASP OWASP Risk Rating Methodology Article on Thread/Risk Modeling 8. Externas Fair Informal Risk Framework Microsoft Thread Modeling (STRIDE and DREAD) Insuficiente 9. OWASP Top 10 Riscos de Segurana de Aplicaes - 2010 A1 Injeo As falhas de injeo, tais como injeo de SQL, de SO e de LDAP, ocorrem quando dados no confiveis so enviados para um interpretador como parte de um comando ou consulta. Os dados do ataque hostil podem iludir o interpretador para que este possa executar comandos no-desejveis ou acessar dados no autorizados. A2 - Cross Site Scripting (XSS) As falhas XSS acorrem sempre quando uma aplicao recebe dados no confiveis e os envia para um navegador Web sem que os tenha validado ou filtrado convenientemente. O XSS permite aos atacantes a execuo de scripts no navegador da vtima que podem ser usados para: sequestrar informaes da sesso do usurio, alterar stios web de forma maliciosa (deface) ou redirecionar o usurio para stios maliciosos. A3 Quebra de Autenticao e da Gesto de Sesses As funes de uma aplicao relacionadas com autenticao e gesto de sesses so muitas vezes implementadas de forma incorreta, permitindo aos atacantes a obteno de senhas, chaves, identificadores de sesso ou ainda, explorar outras falhas de implementao para assumirem a identidade de outro usurio. A4 Referncia Insegura e Direta a Objetos Uma referncia direta a um objeto ocorre quando um programador expe uma referncia para um objeto interno da implementao, como um arquivo, um diretrio ou chave de uma base de dados. Sem uma verificao de controle de acesso ou outra proteo semelhante, os atacantes podem manipular estas referncias para obterem informao no-autorizada. A5 - Cross Site Request Forgery (CSRF) Um ataque CSRF fora o navegador de uma vtima que tenha uma sesso ativa a enviar um pedido HTTP forjado, incluindo o cookie da sesso bem como outras informaes como informao de autenticao, para uma aplicao web vulnervel. Esta falha permite ao atacante forar o navegador da vtima a criar pedidos que a aplicao vulnervel aceite como pedidos legtimos oriundos da vtima. A6 - Configurao Incorreta de Segurana A segurana depende tambm da existncia de configuraes seguras especficas definidas e usadas na aplicao, frameworks, servidor aplicacional, servidor de Web e plataforma. Todas estas configuraes devem ser definidas, implementadas e mantidas por que muitas vezes elas no vem aplicadas diretamente do fornecedor das mesmas. Isto inclui igualmente possuir todo o software atualizado, incluindo todas as bibliotecas de cdigo usadas pela aplicao. A7 - Armazenamento Criptogrfico Inseguro Muitas aplicaes web no protegem devidamente dados sensveis, tais como cartes de crditos, CPFs e credenciais de autenticao com algoritmos de criptografia ou de resumo (hash). Os atacantes podem roubar ou modificar estes dados, protegidos de forma deficiente, para realizar roubos de identidade, fraude com cartes de crdito ou outros crimes. A8 - Falha na Restrio de Acesso a URL Muitas aplicaes web verificam os direitos de acesso a uma URL antes de mostrarem ligaes e botes protegidos. No entanto, as aplicaes devem realizar verificaes de controles de acesso semelhantes cada vez que estas pginas so acessadas, caso contrrio, os atacantes podem forjar URLs e acessar estas pginas escondidas, sem qualquer controle. 10. A9 - Fraca Proteo na Camada de Transporte As aplicaes falham frequentemente em autenticar, criptografar, e proteger a confidencialidade e a integridade do trfego de rede sensvel. Quando o fazem, muitas vezes utilizam algoritmos fracos, usam certificados invlidos ou expirados, ou no os usam corretamente. A10 - Redirecionamentos e Encaminhamentos Invlidos As aplicaes web redirecionam e encaminham frequentemente usurios para outras pginas e stios da web, e usam dados no confiveis para determinar as pginas de destino. Sem uma validao adequada, atacantes podem redirecionar as vtimas para stios de phishing ou de malware, ou usar o encaminhamento para acessar pginas no autorizadas. 11. A1 - Injeo Agente de Ameaa Vetor de Ataque Vulnerabilidade de Segurana Impactos Tcnicos Impactos no Negcio ________ Explorao FCIL Prevalncia COMUM Deteco MDIO Impacto SEVERO ________ Considere qualquer um que possa enviar dados no confiveis para o sistema, incluindo usurios externos, usurios internos e administradores. O atacante envia um ataque baseado em texto que explora a sintaxe do interpretador alvo. Quase qualquer fonte de dados poder constituir um vetor de injeo, incluindo fontes internas. As Falhas de Injeo ocorrem quando uma aplicao envia dados no confiveis para um interpretador. As falhas de injeo apresentam uma elevada prevalncia, em particular em cdigo legado, encontrando-se com regularidade em consultas SQL, consultas LDAP, consultas XPath, comandos do SO, argumentos de programas, etc. Estas falhas so fceis de detectar durante a verificao do cdigo, mas mais difceis atravs de testes. Scanners e fuzzers podero ajudar os atacantes a encontr-las. As injees podero resultar em corrupo ou perda de dados, falta de responsabiliza o, ou negao de servio. A injeo poder levar ao controle total do stio por parte do atacante. Considere o valor do negcio dos dados afetados e da plataforma que roda o interpretador. Todos os dados podem ser roubados, modificados ou deletados. Sua reputao poderia ser afetada? Estou vulnervel injeo? A melhor forma de saber se uma aplicao vulnervel injeo ser verificar que toda a utilizao dos interpretadores separa de forma clara dados no confiveis dos comandos e consultas. Para declaraes SQL isto significa a utilizao de variveis de ligao (bind variables) em todas as instrues preparadas (prepared statements) e procedimentos armazenados (stored procedures) e evitando consultas dinmicas. Checar o cdigo a forma mais rpida e segura para verificar se a aplicao usa interpretadores de uma forma segura. As ferramentas de anlise de cdigo, podem ajudar um analista de segurana a encontrar o uso de interpretadores e o rastrear o fluxo de dados atravs da aplicao. Testes de invaso podero confirmar estas questes concebendo exploits que confirmem estas vulnerabilidades. A anlise dinmica e automtica que permita exercitar a aplicao poder fornecer alguma informao adicional sobre a existncia ou no de algumas vulnerabilidades de injeo que possam ser exploradas. Scanners nem sempre podero conseguir chegar aos interpretadores e tero dificuldade em detectar se um ataque foi feito com sucesso. Uma m gesto de erros pode tornar a descoberta das vulnerabilidades de injeo mais fcil. Como evitar a injeo? Prevenir injees requer que os dados no confiveis sejam separados dos comandos e das consultas: 1. A melhor opo usar uma API segura que evita o uso por completo dos interpretadores ou oferece uma interface parametrizvel. Tenha especial cuidado com as APIs, tais como procedimentos armazenados, que embora sejam parametrizveis, mesmo assim permitem injeo. 12. 2. Caso uma API parametrizvel no esteja disponvel, deve filtrar com todo o cuidado carateres especiais usando uma sintaxe de filtragem especfica para o interpretador em causa. A ESAPI da OWASP possui algumas destas rotinas de filtragem. 3. igualmente recomendada a validao da entrada de dados empregando estratgias positivas ou listas brancas (whitelist), com uma canonizao adequada. No entanto esta pode no ser defesa suficiente j que muitas aplicaes necessitam de carateres especiais aquando da entrada de dados. A ESAPI da OWASP contm uma extensa lista de rotinas de validao de dados usando listas brancas. Exemplo de cenrio de ataque A aplicao usa dados no confiveis na construo da seguinte consulta SQL vulnervel: String query = "SELECT * FROM accounts WHERE custID="" + request.get.Parameter("id") + "'"; O atacante altera o argumento 'id' no seu navegador por forma a enviar ' ou '1'='1'. Isto altera o propsito da consulta SQL fazendo retornar todos os registos da tabela accounts. http://example.com/app/accountView?id=' or '1'='1' No pior dos cenrios o atacante usa esta vulnerabilidade para invocar procedimentos armazenados especiais na base de dados para permitir tomar o controlo total da mesma, e eventualmente controlar o servidor em que a base de dados reside. Referncias OWASP OWASP SQL Injection Prevention Cheat Sheet OWASP Injection Flaws Article ESAPI Encoder API ESAPI Input Validation API ASVS: Output Encoding/Escaping Requirements (V6) OWASP Testing Guide: Chapter on SQL Injection Testing OWASP Code Review Guide: Chapter on SQL Injection OWASP Code Review Guide: Command Injection Externas CWE Entry 77 on Command Injection CWE Entry 89 on SQL Injection 13. A2 - Cross Site Scripting (XSS) Agente da Ameaa Vector de Ataque Vulnerabilidade de Segurana Impactos Tcnicos Impactos de Negcio Explorao MDIA Prevalncia GENERALIZADA Deteco FCIL Impacto MODERADO Considere algum que possa enviar dados no confiveis para o sistema, incluindo utilizadores externos, utilizadores internos e administradores. O atacante envia scripts textuais que exploram o interpretador no seu navegador. Quase qualquer fonte de dados poder constituir um vetor de ataque, incluindo fontes internas tais como dados de uma base de dados. O XSS um dos riscos que mais prevalece no contexto das falhas de segurana em aplicaes Web. As falhas XSS acontecem quando uma aplicao inclui dados fornecidos pelo utilizador numa pgina enviada para o navegador sem que alguma validao ou filtragem tenha sido feita aos dados. Existem trs tipos conhecidos de falhas XSS: 1) Armazenada; 2) Reflectida; 3) XSS baseado em DOM. Descobrir falhas XSS razoavelmente fcil atravs de testes ou anlise do cdigo. Os atacantes podero executar scripts no navegador da vtima para sequestrar dados da sesso do utilizador, alterar stios de forma perniciosa, inserir contedo hostil, redirecionar o utilizador, sequestrar o navegador do utilizador usando malware, etc. Considere o valor do negcio do sistema afetado e de todos os dados que o mesmo processa. Considere igualmente o impacto de negcio da exposio pblica da vulnerabilidade. Serei vulnervel ao XSS? necessrio assegurar que todos os dados inseridos por utilizadores, enviados para o navegador so verificados quanto sua validade (atravs da validao da entrada dos dados) e que os dados so devidamente filtrados antes de serem includos na pgina. A codificao adequada da sada de dados assegura que os dados de entrada so sempre tratados como texto pelo navegador, ao invs de serem considerados como contedo activo passvel de ser executado. Ambas ferramentas estticas e dinmicas podem detectar automaticamente problemas de XSS. No entanto, cada aplicao constri as pginas de diferente modo e usa diferentes interpretadores associados aos navegadors como JavaScript, ActiveX, Flash e Silverlight, o que dificulta a deteco automtica. Portanto, uma deteco completa destes problemas requere uma combinao de reviso manual do cdigo e testes de penetrao manual, como complemento a qualquer abordagem automtica que possa ser usada. As tecnologias Web 2.0, como o AJAX, fazem com que este risco - XSS - seja muito mais difcil detectar atravs de ferramentas automticas. Como evitar o XSS? Prevenir o XSS requer manter os dados no confiveis separados do contedo activo do broswer. 1. A opo mais adequada passa for efectuar uma filtragem a todos os dados no confiveis que constem do contexto HTML (corpo, atributos, JavaScript, CSS ou URL) em que os dados sero inseridos. Os programadores necessitam de incluir esta filtragem nas suas aplicaes a no ser que 14. as suas frameworks de interface do utilizador j o faam. Consulte o OWASP XSS Preveting Cheat Sheet para mais detalhes sobre tcnicas de filtragem. 2. A validao de entrada de dados positiva ou atravs de listas brancas (whitelist) com uma adequada canonizao e descodificao, recomendada, uma vez que ajuda a proteger contra XSS. No entanto, esta no uma defesa completa uma vez que vrias aplicaes necessitam usar caracteres especiais aquando da entrada de dados. Essas validaes deveriam, tanto quanto possvel, descodificar qualquer entrada de dados codificada e validar o seu comprimento, caracteres, formato e regras de negcio antes de aceitar dados de entrada. Exemplo de cenrio de ataque A aplicao usa dados no confiveis na construo do seguinte fragmento de HTML sem validao ou filtragem dos mesmos: (String) page += "