Teste de Invasão de Aplicações Web

download Teste de Invasão de Aplicações Web

of 513

Transcript of Teste de Invasão de Aplicações Web

  • 8/15/2019 Teste de Invasão de Aplicações Web

    1/512

    Qlstl al Fkvdsèe

    al DpnfhdéülsYlm

    Klnsek \te

    http://www.esr.rnp.br/

  • 8/15/2019 Teste de Invasão de Aplicações Web

    2/512

  • 8/15/2019 Teste de Invasão de Aplicações Web

    3/512

  • 8/15/2019 Teste de Invasão de Aplicações Web

    4/512

  • 8/15/2019 Teste de Invasão de Aplicações Web

    5/512

    Klnsek \te

    ]fe al OdklfreLshend Xuplrfer al ]lals=348

    Qlstl al Fkvdsèeal DpnfhdéülsYlm

  • 8/15/2019 Teste de Invasão de Aplicações Web

    6/512

    Hepyrfigt © =348 ‘ ]lal Kdhfekdn al Lksfke l Slsqufsd ‘ ]KS]ud Ndure Bþnnlr. 44: sdnd 4438===63"63: ]fe al Odklfre. ]O

    Afrlter IlrdnKlnsek Xfbüls

    Afrlter al Xlrvfées l Xenuéüls Oesæ Nufz ]fmlfre Jfnge

    Lshend Xuplrfer al ]lals

    HeeralkdéèeNufz Helnge

    LaféèeSlare Xdkifrdraf

    Heeralkdéèe Dhdaïbfhd al Xliurdkéd l Ievlrkdkéd al QFLasek @ewds`

    Lqufpl LX] 'lb eralb dnjdmætfhd&Hlnfd Bdhfln. Hrfstfdkl Enfvlfrd. Alrnfkæd Bfrdkad. Lnfbärfd Mdrmesd. Ndkusd Xfnvd.Neurals Xekhfk. Nuhfdkd Mdtfstd. Nufz Hdrnes Nemdte. ]lkdte Audrtl l Xlrife al Xeuzd

    Hdpd. preolte vfsudn l afdirdbdéèeQlhkealsfik

    Zlrsèe 4+4+3

    Lstl bdtlrfdn afaätfhe jef lndmerdae heb ks lauhdhfekdfs Xenfhftdbes qul qudnqulr lrre lkhek "trdae eu aÿvfad heb rlndéèe de bdtlrfdn eu slu use slod lkvfdae pdrd d lqufpl al lndmerdéèe alhektlÿae ad Lshend Xuplrfer al ]lals. ke l"bdfn fkjeClsr rkp mr D ]lal Kdhfekdn al Lksfke lSlsqufsd l es duterls kèe dssublb qudnqulr rlspeksdmfnfadal per lvlktudfs adkes eu plrads. dplsseds eu mlks. erfifkdaes ae use alstl bdtlrfdn

    Ds bdrhds rlifstrdads blkhfekdads klstl bdtlrfdn plrtlkhlb des rlsplhtfves tftundrls

    AfstrfmuféèeLshend Xuplrfer al ]lals ]ud Ndure Bþnnlr. 44: ‘ sdnd 4438===63"63: ]fe al Odklfre. ]Ogttp?%%lsr rkp mr fkjeClsr rkp mr

    Adaes Fktlrkdhfekdfs al Hdtdneidéèe kd Sumnfhdéèe 'HFS&

    \64s \QE. KlnsekQlstl al fkvdsèe al dpnfhdéüls wlm % Klnsek \te ‘ ]fe al Odklfre? ]KS%LX]. =348

  • 8/15/2019 Teste de Invasão de Aplicações Web

    7/512

    fff

    Xubärfe

    4 Xliurdkéd lb dpnfhdéüls wlm

    Fktreauéèe 4

    Lxlrhâhfe al kfvlndblkte 4 ‘ Alslkvenvfblkte al sejtwdrl 8

    Hfhne al alslkvenvfblkte al sejtwdrl sliure 8

    Lxlrhâhfe al xdéèe 4 ‘ Dtfvfadals al sliurdkéd <

    EYDXS <

    Drquftlturds l tlhkeneifds al dpnfhdéüls wlm :

    Lxlrhâhfe al kfvlndblkte = ‘ ]lqufsftes al sliurdkéd 7

    ]lvfsèe al hrfpteird d 7

    Hfjrds 6

    Jukéüls al gdsg hrfpteirä hds 44

    BDHs 44

    Dssfkdturds afiftdfs 4=

    Hlrtf hdaes afiftdfs 4=

    Sretehenes XXN l QNX 48

    Lxlrhâhfe al xdéèe = ‘ Xliurdkéd ad fkjerbdéèe 4<

    ]lvfsèe aes pretehenes GQQS l GQQSX4:

    ]lqufsféèe 4:

    ]lspestd 49

    Bæteaes 47

    Høafies al lstdae 47

    Hdmlédnges 47

    Hee`fls 46

    Dutlktfhdéèe GQQS 46

    Lxlrhâhfe al xdéèe 8 ‘ Sretehene GQQS =3

  • 8/15/2019 Teste de Invasão de Aplicações Web

    8/512

    fv

    Lsqulbds al heaf hdéèe =3

    Heaf hdéèe al \]N =3

    Heaf hdéèe GQBN =4

    ]etlfre al Dtfvfadals 4 =8

    Dtfvfadal 4 ‘ Drquftlturds l tlhkeneifds al dpnfhdéüls wlm =8

    Dtfvfadal = ‘ Blhdkfsbes hrfpteirä hes =8

    Mfmnfeirdjd 4 81

    = ]lhekglhfblkte l bdpldblkte

    Fktreauéèe 89

    Lxlrhâhfe al kfvlndblkte 4 ‘ Qlstl al fkvdsèe 87

    Blteaeneifd al tlstl al fkvdsèe 86Lxlrhâhfe al xdéèe 4 ‘ Ltdpds al ub tlstl al fkvdsèe 1=

    Jlrrdblktds mäsfhds 1=

    Kdvlidaerls wlm 18

    Srexfls al fktlrhlptdéèe 11

    Ylm spfalrs 1:

    Juzzlrs 19

    Zdrrlaerls al pertds l slrvfées 19

    Zdrrlaerls al vunklrdmfnfadals 17

    Eutrds jlrrdblktds 16

    Lxlrhâhfe al xdéèe = ‘ Qfpes al jlrrdblktds

  • 8/15/2019 Teste de Invasão de Aplicações Web

    9/512

    v

    Alshemlrtd al vunklrdmfnfadals l lxpnerdéèe :<

    Lxpnerdéèe al hektrenls ke ndae hnflktl :<

    Lxlrhâhfe al xdéèe 1 ‘ Xliurdkéd al hektrenls :9

    Hektrdblafads :9

    ]etlfre al Dtfvfadals = :6

    Dtfvfadal 4 ‘ Jlrrdblktds mäsfhds :6

    Dtfvfadal = ‘ ]lhekglhfblkte 91

    Dtfvfadal 8 ‘ Bdpldblkte 96

    Dtfvfadal 1 ‘ Alshemlrtd l lxpnerdéèe al vunklrdmfnfadals 7=

    Mfmnfeirdjd = 7<

    8 Qlstl ae blhdkfsbe al dutlktfhdéèeFktreauéèe 79

    Lxlrhâhfe al xdéèe 4 ‘ Dutlktfhdéèe al usuärfe 77

    Lxlrhâhfe al kfvlndblkte 4 ‘ Dutlktfhdéèe al lktfadals 77

    Qlhkeneifds al dutlktfhdéèe lbprlidads lb dpnfhdéüls wlm 76

    Lxlrhâhfe al kfvlndblkte = ‘ Zunklrdmfnfadals 61

    Alshemlrtd al vunklrdmfnfadals l lxpnerdéèe 61

    \se al fkjerbdéüls emtfads kds jdsls al rlhekglhfblkte l bdpldblkte 6<

    \suärfe l slkgd pdarekfzdaes 69

    Lkublrdéèe al falktf hdaerls al usuärfes 67

    Blhdkfsbe vunklrävln al rlhuplrdéèe al slkgds 434

    Jukhfekdnfadal ‗Nlbmrdr usuärfe‖ 438

    Qrdkspertl fksliure al hrlalkhfdfs al dhlsse 438

    Jdngds kd fbpnlblktdéèe ae blhdkfsbe 431

    Blhdkfsbe vunklrävln al trehd al s lkgds 439

    Dutlktfhdéèe heb bÿntfpnes jdterls 437

    Dtdqul al jeréd mrutd 436

    Dtdqul al afhfekärfe 443

    Dtdqul hektrd slkgds drbdzlkdads 441

    Fklxfstïkhfd al penâtfhd al slkgds jertl 449

    Klidéèe al slrvfée afrlhfekdad d usuärfes 446

    Lkilkgdrfd sehfdn 446

    Lxlrhâhfe al xdéèe = ‘ Zunklrdmfnfadals lb blhdkfsbes al dutlktfhdéèe 4=3

    Hektrdblafads 4=3

  • 8/15/2019 Teste de Invasão de Aplicações Web

    10/512

    vf

    ]etlfre al Dtfvfadals 8 4=8

    Dtfvfadal 4 ‘ Qlhkeneifds al dutlktfhdéèe 4=8

    Dtfvfadal = ‘ Alshemlrtd al vunklrdmfnfadals l lxpnerdéèe 4=8

    Mfmnfeirdjd 8 48=

    1 Qlstl ae ilrlkhfdblkte al slssüls

    Fktreauéèe 488

    Lxlrhâhfe al xdéèe 4 ‘ Falktf hdaer al slssèe 48<

    Lxlrhâhfe al kfvlndblkte 4 ‘ Ilrlkhfdblkte al slssüls 48:

    Alshemlrtd al vunklrdmfnfadals l lxpnerdéèe 48:

    Falktf hdaerls al slssèe prlvfsâvlfs 48:

    Aebâkfe al falktf hdaerls heb mdfxd hdrafkdnfadal 413

    Qrdksbfssèe lb hndre al falktf hdaerls al slssèe 414

    Bdkfpundéèe al falktf hdaer al slssèe per blfe al shrfpts 41=

    Dtrfmutes al hee`fls 411

    Lxlrhâhfe al xdéèe = ‘ Dtrfmutes pdrd pretléèe 41:

    Xlqulstre al slssèe 41:

    Dtdqul al xdéèe al slssèe 419

    Lkhlrrdblkte vunklrävln al slssèe 4

  • 8/15/2019 Teste de Invasão de Aplicações Web

    11/512

    vff

    WXX mdsldae lb AEB 47=

    Hress hgdkkln shrfptfki 47<

    Lxlrhâhfe al xdéèe 4 ‘ WXX 47:

    Yerbs mdsldaes lb WXX 47:

    Lxlrhâhfe al xdéèe = ‘ Qæhkfhds al lvdsèe 476

    Alshemlrtd al vunklrdmfnfadals l lxpnerdéèe 476

    Sektes al fkoléèe 476

    ]etlfres al tlstl 464

    Emtlkéèe al falktf hdaer al slssèe 46=

    Dauntlrdéèe al päifkd 461

    Alshemlrtd al gfstørfhe al kdvlidéèe 469

    Hdpturd al tlhnds afiftdads ke kdvlidaer wlm =33

    Tulmrd al te`lk dktf"HX]J =34

    Lxlrhâhfe al xdéèe 8 ‘ Sretléèe hektrd HX]J =3=Lvdsèe al ntres =3=

    Drhdmeuées al lxpnerdéèe =31

    Hektrdblafads =39

    Høafie ae Xdby Yerb =39

    Høafie ae Vdbdkklr =36

    ]etlfre al Dtfvfadals < =4<

    Dtfvfadal 4 ‘ Fktreauéèe =4<

    Dtfvfadal = ‘ Qfpes al WXX=4<

    Dtfvfadal 8 ‘ Yerbs mdsldaes lb WXX =47

    Dtfvfadal 1 ‘ Alshemlrtd al vunklrdmfnfadals l lxpnerdéèe =47

    Mfmnfeirdjd < =84

    : Fkoléèe al XTN

    Fktreauéèe =88

    Lxlrhâhfe al kfvlndblkte 4 ‘ Heksuntd XTN premnlbätfhd =8<

    Lxlrhâhfe al xdéèe 4 ‘ Fkoléèe al XTN =8<

    Lsplhf hfadals al dniuks XIMAs =8:

    Hebdkaes al bdkfpundéèe al adaes =8:

    Lbpfngdblkte al hebdkaes =89

    Lxprlssèe hekafhfekdn =89

    Hebdkae al pdusd =87

    Bdkfpundéèe al hdrdhtlrls l al hdalfds al hdrdh tlrls =87

  • 8/15/2019 Teste de Invasão de Aplicações Web

    12/512

    vfff

    Eplrdaerls mft"d"mft =86

    Heblktärfes =86

    Alshemlrtd al vunklrdmfnfadals l lxpnerdéèe =13

    Nehdfs al fkoléèe =13

    Qlstls mäsfhes =14

    Lxtrdéèe al adaes vfd \KFEK =11

    Falktf hdéèe ae slrvfaer al mdkhe al adaes l al eutrds fkjerbdéüls =19

    Falktf hdéèe ads henukds ad heksuntd =16

    Lxlrhâhfe al xdéèe = ‘ Lkublrdéèe al tdmlnds vfd fkoléèe al XTN =

  • 8/15/2019 Teste de Invasão de Aplicações Web

    13/512

    fx

    Fkoléèe al WSdtg 88<

    Fkoléèe al WSdtg ãs hlids 886

    Fkhnusèe al drqufves 81=

    Hektrdblafads 818

    Lxlrhâhfe al xdéèe = ‘ Blafads hektrd dtdquls 811

    Dpïkafhl ‘ Irdbätfhd pdrd rlprlslktdéèe tlxtudn al ntres al mushd NADS 81<

    Irdbätfhd ad nfkiudilb WSdtg 4 3 819

    ]etlfre al Dtfvfadals 9 8

  • 8/15/2019 Teste de Invasão de Aplicações Web

    14/512

    x

    Hekaféüls al herrfad 87:

    Lxlrhâhfe al xdéèe = ‘ Hekaféüls al herrfad 879

    Zunklrdmfnfadals kd nøifhd al kliøhfe 879

    Qrdksjlrïkhfd al vdner klidtfve 877

    Lbpræstfbe dhfbd ae nfbftl 877

    Lxlrhâhfe al xdéèe 8 ‘ Jlrrdblktds dutebdtfzdads 863

    Hektrdblafads 863

    ]etlfre al Dtfvfadals 7 868

    Dtfvfadal 4 ‘ Dhlsse afrlte d rlhurses 868

    Dtfvfadal = ‘ Hektrenl al dhlsse ke ndae hnflktl ad dpnfhdéèe 869

    Dtfvfadal 8 ‘ Slrhurse al hdbfkge 133

    Dtfvfadal 1 ‘ ]lafrlhfekdblkte kèe vdnfadae 134

    Dtfvfadal < ‘ Hekaféüls al herrfad 138

    Dtfvfadal : ‘ Zunklrdmfnfadals kd nøifhd al kliøhfe 131

    Mfmnfeirdjd 7 13<

    6 Blhdkfsbes hrfpteiräjhes

    Fktreauéèe 139

    Lxlrhâhfe al kfvlndblkte 4 ‘ Dhlsse ã dpnfhdéèe wlm 137

    Zunklrdmfnfadals ke trdkspertl al fkjerbdéüls 137

    Zlrsèe vunklrävln al XXN 144

    Xupertl d suâtls hrfpteirä hds jrdhds 14=

    Sremnlbds heb e hlrtf hdae afiftdn 149

    Dhlsse d aebâkfe kèe vlrf hdae 149

    \se al pretehenes preprfltärfes 147

    Lxlrhâhfe al xdéèe 4 ‘ Qfpes al vunklrdmfnfadals 146

    Hektrdblafads 146

    Zunklrdmfnfadals ke drbdzlkdblkte al fkjerbdéüls 1=3

    \se al MDXL:1 1=4

    Lxlrhâhfe al xdéèe = ‘ MDXL:1 1==

    Falktf hdéèe l qulmrd al hfjrds hnässfhds 1==

    Lxlrhâhfe al kfvlndblkte = ‘ Hgdvl hrfpteirä hd 118

    ]lhuplrdéèe al hgdvls lbmutfads lb høafie 118

    Ilrdéèe al hgdvls heb mdfxd lktrepfd 111

    Lbprlie al beae al eplrdéèe fkdalqudae 11

  • 8/15/2019 Teste de Invasão de Aplicações Web

    15/512

    xf

    Lxlrhâhfe al xdéèe 8 ‘ LHM 116

    \se fkherrlte al dnierftbes hrfpteirä hes 116

    Bfsturd al dnierftbes heb kâvlfs al sliurdkéd afjlrlktls 1

  • 8/15/2019 Teste de Invasão de Aplicações Web

    16/512

    xff

  • 8/15/2019 Teste de Invasão de Aplicações Web

    17/512

  • 8/15/2019 Teste de Invasão de Aplicações Web

    18/512

    xfv

    Ds slssüls al dprlkafzdilb ekal sl aèe d dprlslktdéèe aes hektlÿaes l d rldnfzdéèe adsdtfvfadals prätfhds tïb jerbdte prlslkhfdn l lsslkhfdnblktl prätfhe. utfnfzdkae tæhkfhdsal lstuae afrfifae fkafvfaudn. trdmdnge lb lqufpl l prätfhds erflktdads pdrd e hektlxte aldtudéèe ae juture lsplhfdnfstd qul sl prltlkal jerbdr

    Ds slssüls al dprlkafzdilb alslkvenvlb"sl lb trïs ltdpds. heb prlaebfkíkhfd altlbpe pdrd ds dtfvfadals prätfhds. hekjerbl alshrféèe d sliufr?

    Srfblfrd ltdpd? dprlslktdéèe ad tlerfd l lshndrlhfblkte al aÿvfads 'al :3 d 63 bfkutes&+E fkstruter dprlslktd. al bdklfrd sfktætfhd. es hekhlftes tlørfhes herrlspekalktls de tlbdad slssèe al dprlkafzdilb. heb duxânfe al snfals lb jerbdte SewlrSefkt E fkstruternlvdktd qulstüls semrl e hektlÿae aes snfals lb vlz al dplkds dprlslktä"nes. hekvfadkaed turbd ã rl lxèe l pdrtfhfpdéèe Fsse lvftd qul ds dprlslktdéüls slodb bekøtekds l qul ednuke sl henequl lb pesféèe al pdssfvfadal. e qul rlauzfrfd d dprlkafzdilb

    Xliukad ltdpd? dtfvfadals prätfhds al dprlkafzdilb 'al 4=3 d 4

  • 8/15/2019 Teste de Invasão de Aplicações Web

    19/512

    xv

    Hekvlkéüls utfnfzdads klstl nfvreDs sliufktls hekvlkéüls tfpeirä hds sèe usdads klstl nfvre?

    FtänfheFkafhd kebls al drqufves l rljlrïkhfds mfmnfeirä hds rlndhfekdads de nekie ae tlxte

    Ndriurd hekstdktl Fkafhd hebdkaes l suds epéüls. vdrfävlfs l dtrfmutes. hektlÿae al drqufves l rlsuntdae adsdâad al hebdkaes

    Hektlÿae al snfalFkafhd e hektlÿae aes snfals rljlrlktls de hurse dprlslktdaes lb sdnd al dund

    XâbmeneFkafhd rljlrïkhfd hebpnlblktdr afspekâvln lb sftl eu päifkd kd fktlrklt

    XâbmeneFkafhd ub aehublkte hebe rljlrïkhfd hebpnlblktdr

    XâbmeneFkafhd ub vâale hebe rljlrïkhfd hebpnlblktdr

    XâbmeneFkafhd ub drqufve al dÿafe hebe rljlrïkhfd hebpnlblktdr

    Xâbmene

    Fkafhd ub dvfse eu prlhduéèe d slr heksfalrdad

    XâbmeneFkafhd qulstfekdblktes qul lstfbundb d rl lxèe eu dprlslktd hektlÿae al dpefe delktlkafblkte ae tlbd lb qulstèe

    XâbmeneFkafhd ketds l fkjerbdéüls hebpnlblktdrls hebe afhds. suilstüls al nlfturd dafhfekdn eublsbe ubd emslrvdéèe

    Slrbfssüls al use

    Qeaes es afrlftes rlslrvdaes ã ]KS Dirdalhlbes slbprl hftdr lstd jektl qudkae fkhnufr pdrtl alstl nfvre lb eutrd emrdLxlbpne al hftdéèe? \QE. Klnsek Qlstl al Fkvdsèe al Dpnfhdéüls Ylm ]fe al Odklfre? LshendXuplrfer al ]lals. ]KS. =348

    Heblktärfes l plriuktdsSdrd lkvfdr heblktärfes l plriuktds semrl lstd pumnfhdéèe?Lshend Xuplrfer al ]lals ]KS Lkalrlée? Dv Ndure Bþnnlr 44: sdnd 4438 ‘ Metdjeie]fe al Odklfre ‘ ]O ‘ ===63"63:

    L"bdfn? fkjeClsr rkp mr

  • 8/15/2019 Teste de Invasão de Aplicações Web

    20/512

    xvf

    Xemrl es duterlsKlnsek \te æ mdhgdrln l blstrl lb Hfïkhfd ad Hebputdéèe plnd \kfvlrsfadal Lstdaudn alHdbpfkds ‘ \kfhdbp Aurdktl e blstrdae. rldnfzdae sem suplrvfsèe ae Srej Ar ]fhdraeAdgdm. dmeraeu d sliurdkéd al sfstlbds al dilktls bøvlfs l fbpnlblkteu. pdrd d pndtd"jerbd Dinlts ad FMB. dniuks aes blhdkfsbes lstuadaes Klstl blsbe plrâeae. dvdnfeudrtfies pdrd hekirlsses kdhfekdfs lb Xliurdkéd ad Fkjerbdéèe l pdrd e plrføafhe Oeurkdnej \kfvlrsdn Hebputlr Xhflkhl Sessuf. tdbmæb. värfes drtfies pumnfhdaes lb hekirlsseskdhfekdfs l fktlrkdhfekdfs. afsherrlkae semrl afvlrses tlbds al Xliurdkéd ad Fkjerbd"éèe Qrdmdngd kd ärld al QF gä 4< dkes. slkae 6 alnls lb Xliurdkéd ad Fkjerbdéèe l. lblsplhfdn. lb hrfpteird d dpnfhdad l sliurdkéd al sejtwdrl Klstd ärld. alktrl es preoltesal plsqufsd l al heksunterfd aes qudfs pdrtfhfpeu. peal"sl hftdr? hrfptedkänfsl al drqufvesilrdaes per bdnwdrls0 tlstls al fkvdsèe al dpnfhdéüls wlm l hnflktl"slrvfaer0 dkänfsl alvunklrdmfnfadals lb fbpnlblktdéüls hrfpteirä hds0 dpnfhdéèe ad tæhkfhd @"Bldks pdrd dilrdéèe slbfdutebätfhd al rlirds al herrlndéèe al lvlktes al sliurdkéd0 ilrlkhfdblkteal hgdvls hrfpteirä hds0 dkänfsl al mfmnfetlhds heb supertl ã Hrfpteird d al Hurvds Lnâptf"hds pdrd ds pndtdjerbds WXhdnl l x7:0 vlrf hdéèe ad herrléèe aes dnierftbes hrfpteirä hesfbpnlblktdaes per ubd mfmnfetlhd heblrhfdn0 dkänfsl al rfshes al sfstlbds heb mdsl kd

    kerbd FXE%FLH 473=70 dvdnfdéèe al vunklrdmfnfadals al sfstlbds eplrdhfekdfs l XIMAs0lndmerdéèe al penâtfhds al sliurdkéd l duafterfd SHF Qlb lxplrfïkhfd ke alslkvenvfblkteal sejtwdrls lb nfkiudilks H. H++. Odvd l Dsslbmny x7: Hebe preoltes bdfs fktlrlssdk"tls klssl aebâkfe lstèe d hrfdéèe al ub arfvlr EAMH"OAMH l ub trdauter 1IN"Odvd. pdrd dilrdéèe dutebätfhd al høafie slbdktfhdblktl lqufvdnlktl lb Odvd d pdrtfr al preirdbdslb 1IN Ser b. æ prejlsser al irdaudéèe l pøs"irdaudéèe. bfkfstrdkae afshfpnfkds kdsärlds al Xliurdkéd l Qlhkeneifd ad Fkjerbdéèe. dnæb al heeralkdr gä trïs dkes ub hurseal pøs"irdaudéèe lb sliurdkéd

    Lasek @ewds` Mlzlrrd æ pre ssfekdn ad ärld al sliurdkéd ad fkjerbdéèe l ievlrkdkédgä bdfs al qufkzl dkes. dtudkae hebe duafter nâalr. plsqufsdaer. ilrlktl al preoltes l

    ilrlktl tæhkfhe. lb fkÿblres preoltes al ilstèe al rfshes. ilstèe al sliurdkéd ad fkjer"bdéèe. hektfkufadal al kliøhfes. SHF. duafterfd l rlhuplrdéèe al alsdstrls lb lbprlsdsal irdkal pertl ae slter al tlnlhebukfhdéüls. kdkhlfre. lklrifd. fkaÿstrfd l ievlrkeHeb vdstd lxplrfïkhfd kes tlbds al sliurdkéd. tlb dtudae tdbmæb hebe pdnlstrdktl kesprfkhfpdfs lvlktes ae Mrdsfn l dfkad hebe fkstruter al trlfkdblktes jehdaes lb sliurdkédl ievlrkdkéd Æ prejlsser l heeralkdaer al hurses al pøs"irdaudéèe kd ärld al sliurdkédad fkjerbdéèe. ilstèe fktlirdad. al fkevdéèe l tlhkeneifds wlm Geol dtud hebe Heeralkd"aer Dhdaïbfhe al Xliurdkéd l Ievlrkdkéd al QF ad Lshend Xuplrfer al ]lals

  • 8/15/2019 Teste de Invasão de Aplicações Web

    21/512

    xvff

    Alafhe lstl trdmdnge?

    Ã Bdrhfd Ge bdkk. plnd hebpdkgfd. dber l pdhfïkhfd0 Ã bfkgd jdbânfd. plnd lauhdéèe qul bl jef adad0 Des vlradalfres dbfies. qul slbprl bl lstlkalrdb d bèe qudkae prlhfslf0 D teaes es duterls qul. de hebpdrtfngdrlb hekglhfblkte. duxfnfdrdb d hrfdéèe alstl nfvre

    Klnsek \te

  • 8/15/2019 Teste de Invasão de Aplicações Web

    22/512

    xvfff

  • 8/15/2019 Teste de Invasão de Aplicações Web

    23/512

    4

    H d p â t u n e 4 "

    X l i u r d k é d l b

    d p n f h d é ü l s w

    l m

    4Xliurdkéd lb dpnfhdéüls wlm

    Fktreauzfr hekhlftes semrl alslkvenvfblkte al sejtwdrl sliure l rlvlr afvlrsestøpfhes rlndhfekdaes ã hrfpteird d l des pretehenes GQQS l GQQSX

    Hfhne al alslkvenvfblkte al sejtwdrl sliure. drquftlturds l tlhkeneifds al

    dpnfhdéüls wlm. hrfpteird d. pre"tehenes GQQS l GQQSX

    FktreauéèeqZunklrdmfnfadals lb sejtwdrls tïb sfae dbpndblktl utfnfzdads per dtdhdktls pdrd

    reume al fkjerbdéüls hek alkhfdfs l fkvdsüls al rlals herperdtfvds

    Srevlr d sliurdkéd al ub sejtwdrl. peræb. kèe æ ub emoltfve jähfn al slr dnhdkédae.adad d hebpnlxfadal aes sfstlbds kes afds al geol

    Jdhfnblktl. lnls dtfkilb alzlkds al bfngdrls al nfkgds al høafie. qul hektïb. fkvdrfdvln"blktl. qudktfadal al aljlftes sfikf hdtfvd Dniuks alstls tïb fbpdhte afrlte lb sliurdkéd.pealkae dhdrrltdr alsal d fkafspekfmfnfadal ae sfstlbd dtæ e hektrenl tetdn ae hebputdaerper ub dtdhdktl Sdrd pferdr dfkad bdfs lssl hlkärfe. heksfalrl qul. kerbdnblktl. ubhfhne al alslkvenvfblkte al sejtwdrl sliure kèe æ daetdae. e qul rlsuntd. ke bâkfbe. lblsplhf hdéüls fksliurds l hek iurdéèe vunklrävln ads pndtdjerbds sumodhlktls

    Sdrd sl tlr ubd falfd bdfs hndrd ae bukae rldn. ke plrâeae al =334 d =33: e kÿblre alvunklrdmfnfadals lb sfstlbds rlpertdae de Hebbek Zunklrdmfnftfls dka Lxpesurls sfb"pnlsblktl trfpnfheu Dnæb afsse. geuvl buadkéd kes tfpes al jrdqulzds bdfs hebublktllkhektrdads. hebe æ pessâvln emslrvdr kd Jfiurd 4 E lxtrdvdsdblkte al mu lr. hdbplèead nfstd per buftes dkes hekslhutfves. plralu e nuidr. d pdrtfr al =33

  • 8/15/2019 Teste de Invasão de Aplicações Web

    24/512

    =

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    aes nfbftls dnehdaes pdrd ubd adad lstruturd. hebe ub vlter. per lxlbpne E rlsuntdae adlxpnerdéèe ae premnlbd peal slr alsal ub tærbfke dmrupte ae preirdbd dtæ e hektrenltetdn ae sfstlbd eplrdhfekdn

    , a

    e t e t d n a l v u n k l r d m f n f a d a l s r l p e r t d a e d e H Z L

    Dke

    =<

    =3

    4<

    43

    <

    3=334 =33= =338 =331 =33< =33:

    Hress"sftl shrfptfkiLxtrdvdsdblkte al mufflr

    Fkoléèe XTN

    Kdvlidéèe al afrltørfe

    SGS Fkhnual

    Zdzdblkte al fkjerbdéèe

    Klidéèe al slrvfée

    Lsteure al fktlfre

    Æ pessâvln heksfalrdr. al beae ilrdn. qul klb ub sejtwdrl lstä nfvrl al vunklrdmfnfadals alsliurdkéd. prfkhfpdnblktl qudkae d hebpnlxfadal alnls jer irdkal

    qD blnger lstrdtæifd d slr daetdad. lktèe. heksfstl lb lkhektrdr lssds vunklrdmfnfadalse bdfs hlae pessâvln l herrfif"nds fblafdtdblktl. dktls qul slodb lxpnerdads per usu"ärfes bdnfhfeses Zlod dniubds bdklfrds al rldnfzdr lssd tdrljd?

    4 Dkänfsl al aehublktes al rlqufsftes. preolte l drquftlturd ? plrbftl altlhtdrpremnlbds ke preolte l drquftlturd ad dpnfhdéèe

    4 Dkänfsl al høafie"jektl ? æ d blnger jlrrdblktd pessâvln pdrd altlhéèe al vunklrdmf"nfadals lb sejtwdrl. bds peal slr prefmftfvd pdrd sfstlbds bufte irdkals. alvfae detlbpe qul d tdrljd heksebl Dniuks tfpes al aljlftes al sliurdkéd. peræb. seblktlpealb slr lkhektrdaes alssd bdklfrd

    4 Qlstl al fkvdsèe ? lssl æ e tlbd alstl hurse l heksfstl kd lxlhuéèe al dtdquls vfsdkaevfendr es rlqufsftes al sliurdkéd lxpnâhftes l fbpnâhftes al ubd dpnfhdéèe E prehlsseteae æ rldnfzdae hfhnfhdblktl l. d hdad fktlrdéèe. d mdsl al hekglhfblkte semrl esfstlbd dublktd l kevds vunklrdmfnfadals pealb slr alshemlrtds l lxpnerdads

    4 Jlrrdblktds dutebdtfzdads ? sèe øtfbds pdrd duxfnfdr ub dkdnfstd al sliurdkéd kdlxlhuéèe al prehlsses rlpltftfves l altlhéèe al dniuks tfpes al vunklrdmfnfadalsSeræb. kèe sèe hdpdzls al lkhektrdr fkÿblrds hndssls al premnlbds. qul klhlssftdb alub hekglhfblkte ae aebâkfe ad dpnfhdéèe l ad slbíktfhd aes pdríbltres utfnfzdaes

    Zdnl rlssdntdr qul vunklrdmfnfadals lb sejtwdrl. jrlqulktlblktl. sèe ds rlspeksävlfsplne hebprebltfblkte ae mlb bdfs fbpertdktl ad lbprlsd. qul æ d fkjerbdéèe Dssfb.lsjerées alvlb slr afrlhfekdaes pdrd bftfidr es rfshes alherrlktls ad hrfdéèe l utfnfzdéèeal sejtwdrls fksliures kes prehlsses al kliøhfe ads lbprlsds Qdn emoltfve sø æ dnhdkédaepnlkdblktl per blfe ad fbpndktdéèe al ub hfhne al alslkvenvfblkte al sejtwdrl sliure

    Ke hektlxte dprlslktdae. e emoltfve alstl hdpâtune æ rlvfsdr es prfkhfpdfs hekhlftes klhlssärfesã rldnfzdéèe al ub tlstl al fkvdsèe al dpnfhdéüls wlm Alssl beae. e rlstdktl alstl hdpâtunefkhnuf keéüls al ub hfhne al alslkvenvfblkte al sejtwdrl sliure. drquftlturds l tlhkeneifds al

    dpnfhdéüls wlm. hekhlftes al hrfpteird d l rlvfsèe aes pretehenes GQQS l GQQSX

    Jfiurd 4+4 Sreirlssèe ad eher"rïkhfd ads prfkhfpdfsvunklrdmfnfadalsrlpertdads de HZL

  • 8/15/2019 Teste de Invasão de Aplicações Web

    25/512

    8

    H d p â t u n e 4 "

    X l i u r d k é d l b

    d p n f h d é ü l s w

    l m

    Lxlrhâhfe al kfvlndblkte 4l Alslkvenvfblkte al sejtwdrlXud eridkfzdéèe daetd ub hfhne al alslkvenvfblkte al sejtwdrl sliure5

    Hfhne al alslkvenvfblkte al sejtwdrl sliureq\b sejtwdrl sliure æ dqulnl qul sdtfsjdz es rlqufsftes fbpnâhftes l lxpnâhftes al sliu"

    rdkéd lb hekaféüls kerbdfs al eplrdéèe l lb sftudéüls alherrlktls al dtfvfadal bdnf"hfesd al usuärfes Sdrd fsse. alvl rlsuntdr al ub hfhne al alslkvenvfblkte qul heksfalrldsplhtes al sliurdkéd lb teads ds suds jdsls 'BhIrdw. =33:0 @fssln lt dn . =337&?

    4 Kd ltdpd al lsplhf hdéèe. rlqufsftes lxpnâhftes al sliurdkéd alvlb slr lkublrdaesl rlqufsftes jukhfekdfs alvlb slr dvdnfdaes pdrd vlrf hdr sl kèe fktreauzlb ubdvunklrdmfnfadal ke sfstlbd

    4 Dtfvfadals hebublktl rldnfzdads kd jdsl sliufktl. d al preolte. fkhnulb e bdpld"blkte ae bealne al adaes pdrd lstruturds nøifhds l jâsfhds. d al kféèe al pdarülsal fktlrjdhl d slrlb utfnfzdaes. d lshengd al lnlblktes al gdrawdrl l sejtwdrl quljdrèe pdrtl ad senuéèe l e alslkge ad tepeneifd d slr daetdad

    4 Sdrd bfkfbfzdr vunklrdmfnfadals al heaf hdéèe. es alslkvenvlaerls alvlb slr trlf "kdaes lb tæhkfhds ilrdfs al preirdbdéèe sliurd l kds lsplhf hfadals ads nfkiud "ilks heb ds qudfs trdmdngdb

    4 Qlstls al sliurdkéd sèe jukadblktdnblktl afjlrlktls al tlstls jukhfekdfs l. perfsse. alvlb slr jlftes per pre ssfekdfs lsplhfdnfzdaes

    4 Ser b. l kèe blkes fbpertdktls. lkhektrdb"sl d fbpndktdéèe ae sfstlbd kedbmflktl al preauéèe l d bdkutlkéèe

    Qeadvfd. buftes alslkvenvlaerls heblédb d sl prlehupdr heb sliurdkéd seblktl qudkaee sejtwdrl ls tä qudsl kdnfzdae. pefs dhrlaftdb. lrrekldblktl. slr pessâvln trdmdngdralssd bdklfrd Qdn dmeradilb sø hektrfmuf pdrd bdfer huste. pefs ds herrléüls al vunklrdmf"nfadals terkdb"sl bdfs hdrds ã blafad qul sl dvdkéd plnds jdsls al alslkvenvfblkte.hekjerbl fnustrdae kd Jfiurd 4 =. lxtrdâad al Yysepdn lt dn '=33:&

    Jdsl Huste rlndtfve pdrd herrléèe

    Aljfkféèe 4

    Sreolte al dnte kâvln =

    Sreolte altdngdae <

    Heafjfhdéèe 43

    Qlstl al ukfadal 4<

    Qlstl al fktlirdéèe ==

    Qlstl al sfstlbd

  • 8/15/2019 Teste de Invasão de Aplicações Web

    26/512

    1

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    Hdad jdsl al ub hfhne al alslkvenvfblkte al sej twdrl sliure. pertdkte. tlb sud pdrhlnd alhektrfmuféèe pdrd d qudnfadal ae rlsuntdae kdn l kèe peal slr ebftfad aurdktl e prehlsseKd ltdpd al lsplhf hdéèe. rlqufsftes lxpnâhftes al sliurdkéd alvlb slr lkublrdaes lrlqufsftes jukhfekdfs alvlb slr dvdnfdaes pdrd vlrf hdr sl kèe fktreauzlb ubd vunklrdmf "nfadal ke sfstlbd \b hdse fnustrdtfve æ e ae supeste Bfhresejt Mem. ub preirdbd hrfdaepdrd duxfnfdr e usuärfe ae sfstlbd eplrdhfekdn slbprl qul sl lkhektrdssl lb af hunadalskd rldnfzdéèe al dniubd tdrljd Xliufkae lssd nese d. slbprl qul ub usuärfe lrrdssld slkgd trïs vlzls hekslhutfvds. lnl dpdrlhfd l plriuktdvd sl alslodvd trehä"nd. pdrdheklhtdr"sl de dbmflktl 'BhIrdw. =33:& Klssd sftudéèe. kèe fbpertd quèe mlb fbpnlblk "tdad lstlod d jukhfekdnfadal? e sfstlbd hektfkudrä fktrfkslhdblktl fksliure

    Dtfvfadals hebublktl rldnfzdads kd jdsl sliufktl. d al preolte. fkhnulb e bdpldblkteae bealne al adaes pdrd lstruturds nøifhds l jâsfhds. d al kféèe al pdarüls al fktlrjdhl dslrlb utfnfzdaes. d lshengd al lnlblktes al gdrawdrl l sejtwdrl qul jdrèe pdrtl ad senuéèel e alslkge ad tepeneifd d slr daetdad Klssl hektlxte. ub premnlbd bufte hebub alsliurdkéd qul suril æ e pesfhfekdblkte fkherrlte ae mdkhe al adaes kd tepeneifd al rlalSdrd fnustrdr lssl pekte. heksfalrl e nlvdktdblkte rldnfzdae per Nfthg lna. ke kdn al =33

  • 8/15/2019 Teste de Invasão de Aplicações Web

    27/512

    <

    H d p â t u n e 4 "

    X l i u r d k é d l b

    d p n f h d é ü l s w

    l m

    hrfpteirä hds alvlb slr daetdaes 'Blklzls lt dn . =3340 Mdr`lrlt dn . =339d.m& L. ke hdse alhebprebltfblkte ae sfstlbd. e premnlbd alvl slr falktf hdae l fblafdtdblktl herrfifae

    Fkvdrfdvlnblktl. teae sejtwdrl slbprl dprlslktd ubd eu bdfs jdngds al sliurdkéd denekie al sud lxfstïkhfd Dssfb. æ rdzeävln hekhnufr qul æ utøpfhe hekstrufr ub sfstlbdhebpnltdblktl fkvunklrävln Seræb. heb ub hfhne al alslkvenvfblkte sliure. æ pessâvln.ke bâkfbe. preauzfr heksfstlktlblktl sfstlbds heb ub kÿblre rlauzfae al mrlhgds l qul

    pessudb blhdkfsbes al pretléèe hektrd es afvlrses dtdquls hekglhfaes

    Lxlrhâhfe al jfxdéèe 4l Dtfvfadals al sliurdkédTul dtfvfadals al sliurdkéd pealb slr fkhnuâads lb hdad ltdpd al ub hfhne al alslkvenvf"blkte al sejtwdrl sliure5

    EYDXSE irupe Eplk Ylm Dppnfhdtfek Xlhurfty Sreolht æ ubd eridkfzdéèe bukafdn. slb ks nuhrd"tfves. qul vfsd afvunidr dsplhtes al sliurdkéd al dpnfhdéüls wlm. pdrd qul e rfshe klsslsdbmflktls slod alvfadblktl dvdnfdae per plsseds l lbprlsds Lxfstlb. geol. 483 hdpâtunesnehdfs. lspdngdaes plnes hfkhe hektfklktls. teaes dmlrtes. irdtuftdblktl. pdrd pdrtfhfpdéèeal plsseds fktlrlssdads ke dssukte D lktfadal. dnæb al eridkfzdr hekjlrïkhfds fktlrkdhfe"kdfs l lkhektres semrl e tlbd. bdktæb afvlrses preoltes. qul vdrfdb al iufds al fbpnl"blktdéèe sliurd d jlrrdblktds

    qEs trdmdnges ae EYDXS rlnlvdktls pdrd lstl hurse lstèe mrlvlblktl alshrftes kespdräirdjes d sliufr? 4 Qep Qlk ? æ ubd nfstd. oä kd tlrhlfrd vlrsèe. ads alz vunklrdmfnfadals al bdfer rfshe

    prlslktls lb dpnfhdéüls wlm. sliukae d lxplrfïkhfd prätfhd al afvlrses lsplhfdnfstdsblbmres ad eridkfzdéèe Ser lssd rdzèe. jef daetdae plnes pdarüls SHF AXX 'SHF. =336d&l SHF SD"AXX 'SHF. =336m& pdrd iurdr hebe es ftlks bâkfbes qul alvlb slr heksfal"rdaes kd heaf hdéèe sliurd al sfstlbds wlm

    4 Iufd al alslkvenvfblkte 'Yflsbdkk lt dn . =33

  • 8/15/2019 Teste de Invasão de Aplicações Web

    28/512

    :

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    q4 YlmIedt ? æ ubd dpnfhdéèe wlm prepesftdadblktl fksliurd. hrfdad heb e emoltfve allksfkdr es hekhlftes al sliurdkéd wlm l tlstls al fkvdsèe Sdrtl aes lxlbpnes alstltlxte æ mdsldad klssd jlrrdblktd

    Drquftlturds l tlhkeneifds al dpnfhdéüls wlmqKes prfbørafes ad fktlrklt. es slrvfaerls wlm jerklhfdb. mdsfhdblktl. hektlÿae

    lstätfhe hebpeste per aehublktes l fbdilks

    Qdfs rlhurses lrdb dhlssdaes plnes kdvlidaerls wlm. lb ub bealne hnflktl"slrvfaer. kequdn e usuärfe kèe lrd hdpdz al jerklhlr klkgubd fkjerbdéèe per blfe ad fktlr jdhl afspe"kfmfnfzdad E bäxfbe plrbftfae heksfstfd kd kdvlidéèe per aehublktes. hektlkae dssuktesrlndhfekdaes. qul lrdb rljlrlkhfdaes per blfe al gfplrnfk`s Hndrdblktl. kèe æ pessâvlnhndssf hdr tdfs prevlaerls al hektlÿae hebe dpnfhdéüls wlm l. pertdkte. lnls kèe sèe fktl "rlssdktls ke hektlxte al tlstls al fkvdsèe dmeradae ke prlslktl aehublkte Ds vunklrdmf"nfadals qul lrdb lktèe lkhektrdads plr tlkhfdb dplkds ãs pndtdjerbds sumodhlktls. hebee slrvfaer wlm l e sfstlbd eplrdhfekdn

    qEmslrvl qul. klssl lstäife fkfhfdn. es sâtfes wlm lrdb hlktrdaes kes aehublktes l kèekes usuärfes Afjlrlktlblktl. ubd dpnfhdéèe wlm fktlrdil heb ds plsseds qul d utf"nfzdb. rlhlmlkae. alvenvlkae l dtudnfzdkae fkjerbdéüls hektfads kds jektls al adaesad dpnfhdéèe. al bdklfrd afkíbfhd

    \b uxe hebub al prehlssdblkte hebprllkal es sliufktls pdsses 'Xg`ndr. =336&?rlhlmfblkte ad rlqufsféèe ae usuärfe0 fktlrprltdéèe ad senfhftdéèe l sumslqulktl lkhd"bfkgdblkte0 hektrenl ae dhlsse. per blfe al dutlktfhdéèe l vlrf hdéèe aes prfvfnæifes0dhlsse l dtudnfzdéèe al adaes. al dherae heb d nøifhd al kliøhfe0 plrsekdnfzdéèe adrlspestd. pdrd dtlkalr des afvlrses t fpes al dpnfhdéüls hnflktls l hdrdhtlrâstfhds ÿkfhdsaes usuärfes0 l d trdksbfssèe ad rlspestd pdrd dprlslktdéèe de usuärfe

    Ds prfblfrds dpnfhdéüls wlm fbpnlblktdvdb teads ds ltdpds dhfbd al bdklfrd preird"bätfhd. utfnfzdkae tlhkeneifds hebe HIF l Xlrvnlts Odvd

    E irdkal premnlbd æ qul es sfstlbds lrdb bekenâtfhes. fste æ. ds hdbdads al dprlslk"tdéèe. nøifhd al kliøhfes l al adaes lrdb teads bfsturdads lb ub eu bdfs preirdbdsDssfb. ubd beaf hdéèe fkherrltd ke høafie qul hekstruâd ubd tlnd pealrfd djltdr ubdrlird al bdkfpundéèe al fkjerbdéèe Xfbfndrblktl. d t rehd al ub sfstlbd ilrlkhfdaer almdkhe al adaes per eutre kèe peafd slr jlftd trdkspdrlktlblktl Eutre fkhekvlkflktl æqul e nlfdutl ad päifkd hdvd sem d rlspeksdmfnfadal aes preirdbdaerls. qul. kerbdn "blktl. kèe pessuâdb ds gdmfnfadals klhlssärfds klssd drlkd

    q\bd dmeradilb dntlrkdtfvd. vfsdkae bfkfbfzdr lssl premnlbd. heksfstl kd ilrdéèe alpäifkds GQBN d pdrtfr al bealnes 'tlbpndtls& qul sl mdslfdb lb lstruturds al jerbd "tdéèe l plrbftlb ubd qudktfadal nfbftdad al høafie lbmutfae pdrd fkhnusèe afkíbfhdal adaes Lxlbpnes alssd senuéèe fkhnulb e Hena Jusfek. Dpdhgl Zlnehfty l Xlrvlr"XfalFkhnuals 'XXF&. dtudkae lb pdrhlrfd heb HIF

    Xl per ub ndae e use al bealnes dtlkalu pdrhfdnblktl e prepøsfte al slpdrdr e hektlÿae addprlslktdéèe. per eutre. plheu lb nfbftdr albdsfdadblktl e pealr l lxfmfnfadal ad dmer "adilb hlktrdad lb høafie Ser lssl betfve. senuéüls gâmrfads prehurdrdb blshndr bealneserflktdaes d päifkds heb e pealr ejlrlhfae plnd preirdbdéèe. plrbftfkae. dssfb. d fkhnusèe almnehes fktlfres al høafie plrbldkae lstruturds al jerbdtdéèe Hektrdrfdkae ds hrlkéds fkfhfdfs.d jusèe ads vdktdilks al hdad ub aes hlkärfes kèe tlvl rlsuntdae pesftfve. ubd vlz qul. kevd"blktl. hektlÿae l dprlslktdéèe sl terkdrdb fkafssehfävlfs lb ub ÿkfhe emolte 'Xg`ndr. =336&

    Xdfmd bdfs

    Sdyblkt Hdra FkaustryAdtd Xlhurfty Xtdkadra'SHF AXX& æ ub pdarèeal kfae plnds mdkalf "rds Zfsd. Bdstlrhdra.Dblrfhdk Lxprlss. OHMl Afshevlr pdrd bfkf"bfzdr rfshes lkvenvlk"

    ae pdidblktes hebhdrtüls al hræafte laæmfte E pdarèe lstäeridkfzdae lb aezlrlqufsftes prfkhfpdfsqul hemrlb sliurdkédal rlals. pretléèe aladaes al hdrtèe drbd"zlkdaes. trdksbfssèesliurd. sliurdkéd jâsf "hd l penâtfhd al sliu "rdkéd. alktrl eutresSdyblkt Hdra FkaustrySdyblkt DppnfhdtfekAdtd Xlhurfty Xtdkadra'SHF SD"AXX& æ ubpdarèe bdktfae plnehekslnge SHF qul tlbper emoltfve duxfnfdr dslbprlsds al sejtwdrlal pdidblkte lnltrñkf"he d alslkvenvlr sfs"tlbds qul kèe vfenlbrlqufsftes prlshrfteske SHF AXX l. dssfb.kèe fbplafr lstdmlnl"hfblktes heblrhfdfs lprevlaerls al slrvféesd emtlr d hlrtf hdéèe

    n

  • 8/15/2019 Teste de Invasão de Aplicações Web

    29/512

    9

    H d p â t u n e 4 "

    X l i u r d k é d l b

    d p n f h d é ü l s w

    l m

    qXenuéüls gâmrfads prehurdrdb blshndr bealnes erflktdaes d päifkds heb e pealrejlrlhfae plnd preirdbdéèe Dhtfvl Xlrvlr Sdils 'DXS&. ad Bfhresejt. SGS l OdvdXlrvlrSdils 'OXS&. ad Xuk. jerdb tlhkeneifds qul lkvlrladrdb per lssl hdbfkge

    Lbmerd dfkad geol slod pessâvln lkhektrdr sfstlbds alslkvenvfaes heb teads lssdstlhkeneifds. dpnfhdéüls wlm bealrkds. kerbdnblktl. sèe hekstruâads heb mdsl lb ubbealne al k"hdbdads E emoltfve æ slpdrdr tetdnblktl d nøifhd al kliøhfe ads hdbdads

    al adaes l al dprlslktdéèe de usuärfe l emtlr. heb fsse. tetdn lxfmfnfadal kd slnléèeal tlhkeneifds l bdkutlkéèe ae sfstlbd

    Sdrd lxlbpnf hdr. fbdifkl ubd dpnfhdéèe qul drbdzlkd fkjerbdéüls lb drqufves al tlxtel qul. per dniub betfve. ub sfstlbd ilrlkhfdaer al mdkhes al adaes alvd slr daetdaeke nuidr Hebe e dhlsse ãs fkjerbdéüls eherrl per blfe al ubd fktlrjdhl mlb al kfad ldmstrdtd ad hdbdad al adaes. d dntlrdéèe kèe fbpdhtd e høafie qul ds utfnfzd

    Odvd LL 'Erdhnl. =343& æ ub lxlbpne al pndtdjerbd pdrd lxlhuéèe al dpnfhdéüls hdnhdad kehekhlfte al bÿntfpnds hdbdads D prfblfrd alnds æ hebpestd per kdvlidaerls wlm l dpnf"hdéüls hnflktls qul jdzlb fktlrjdhl heb e usuärfe l sl hebukfhdb heb e slrvfaer Odvd LLD hdbdad wlm æ rlspeksävln plnd ilrdéèe afkíbfhd al hektlÿae l trdkspertl ads fkjerbd"éüls jerklhfads plne usuärfe dtæ d hdbdad al kliøhfe Lnd lbprlid tlhkeneifds hebe Xlr"vnlts. OdvdXlrvlr Sdils. OdvdXlrvlr Jdhls l OdvdMldks D tlrhlfrd hdbdad æ hebpestd plneshebpeklktls qul fbpnlblktdb d nøifhd al kliøhfe ad dpnfhdéèe. qul sèe hekstruâaes. perlxlbpne. heb Lktlrprfsl OdvdMldks Ser b. d ÿntfbd hdbdad hebprllkal slrvfaerls almdkhes al adaes. sfstlbds nlidaes l albdfs jektls al adaes plrtfklktls. qul sèe dhls"sdads per tlhkeneifds hebe Odvd Adtdmdsl Hekklhtfvfty DSF 'OAMH& l Odvd Slrsfstlkhl DSF

    qÆ fbpertdktl lktlkalr hebe teaes lssls lnlblktes sèe afstrfmuâaes lb slrvfaerlsl hebe sèe pretlifaes kds hdbdads al rlal l al trdkspertl D Jfiurd 4 8 fnustrd ubdtepeneifd hdkñkfhd pdrd fbpnlblktdéèe al ub sfstlbd lb k"hdbdads

    E dhlsse al hnflktls d pdrtfr al rlals kèe hek ävlfs æ hektrendae per ub rlwdnn al meradheb hdpdhfadal dafhfekdn al fksplhfekdr e träjlie GQQS l mnequldr dtdquls hekglhfaes\b hekoukte al slrvfaerls wlm eu al dpnfhdéèe rlspekal plnds jukhfekdnfadals al dprl"slktdéèe. trdkspertdkae fkjerbdéüls ae usuärfe pdrd es slrvfaerls al dpnfhdéüls. rlspek"sävlfs plnd nøifhd al kliøhfe. l jerbdtdkae ds rlspestds ãs rlqufsféüls rldnfzdadsD ÿntfbd hdbdad æ hebpestd. kerbdnblktl. al slrvfaerls al mdkhes al adaes l al sfstlbdsnlidaes D Jfiurd 4 1 lkublrd dniuks lxlbpndrls al hdad ub aes hebpeklktls prfkhfpdfs

    DpnfhdéülsHnflktls

    JY+YDJ

    Hdbdad aldprlslktdéèe

    Hdbdad al nøifhdal kliøhfe

    Hdbdadal adaes

    Jfiurd 4+8 Qepeneifd al ubd

    dpnfhdéèe lb

    k"hdbdads

  • 8/15/2019 Teste de Invasão de Aplicações Web

    30/512

    7

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    Hebpeklktl Lxlbpnes

    Hdbdad al hnflktl Kdvlidaerls wlm? Fktlrklt Lxpnerlr. Jfrljex l HgreblDpnfhdéüls lshrftds lb OdvdBfhresejt Ejjfhl

    Hdbdad al dprlslktdéèe FFX

    DpdhglQebhdtYlmXpglrl OMessErdhnl IndssJfsgErdhnl YlmNeifhDpdhgl Ilrekfbe

    Hdbdad al kliøhfe YlmXpglrl OMessErdhnl IndssJfsgErdhnl YlmNeifhDpdhgl Ilrekfbe

    Hdbdad al adaes Erdhnl adtdmdslBX XTN XlrvlrByXTN

    Jfrlwdnn al dpnfhdéèe Dpdhgl BeaXlhurftyFbplrvd XlhurlXpglrl YDJHfshe DHL YDJMdrrdhuad YDJ

    Lxlrhâhfe al kfvlndblkte =l ]lqufsftes al sliurdkédTul rlqufsftes al sliurdkéd ad fkjerbdéèe pealb slr dtlkafaes per blhdkfsbes hrfpteirä hes5

    ]lvfsèe al hrfpteirdjfdEs prfblfres vlstâifes al hrfpteird d adtdb ad æpehd aes liâphfes. es qudfs utfnfzdrdb

    gflrøinfjes frrliundrls kd rlprlslktdéèe al dniubds fkjerbdéüls E emoltfve al tdn prätfhdlrd e al prevlr e sfifne ad fkjerbdéèe. qul jef e ÿkfhe rlqufsfte al sliurdkéd dnblodae plndhrfpteird d hnässfhd l præ"bealrkd Buftes aes dnierftbes alslkvenvfaes klssds jdslsjerdb utfnfzdaes kd pretléèe al blksdilks tèe fbpertdktls. hebe dqulnds trdksbftfadsper ievlrkdktls des ilklrdfs lb mdtdngd. bds klkgub alnls jef hekstruâae heb ubd jertljukadblktdéèe l lktlkafblkte aes dtdquls pessâvlfs Hekslqulktlblktl. d bdferfdalssls blhdkfsbes suhubmfu des bdfs afvlrses dtdquls hekhlmfaes

    Seal"sl afzlr qul lssl plrâeae aureu dtæ e drtfie slbfkdn al Xgdkkek '4616&. qul albeks"treu d sliurdkéd fkhekafhfekdn ae dnierftbe ekl"tfbl pda l fktreauzfu e use ad bdtlbä"tfhd klssd ärld al lstuae

    Jfiurd 4+1 Lxlbpnes aeshebpeklktls alubd dpnfhdéèe lbk"hdbdads

    Ekl"tfbl pda

    Hfjrd sfbætrfhd aljnuxe huod sliurdkéd æfkhek"afhfekdn. fste æ.fkalplkalktl"blktl aepealr hebputdhfekdnlxfstlktl geol l kejuture. eu al dvdkéeskd bdtlbätfhd. kèe æpessâvln qulmrä"nd

  • 8/15/2019 Teste de Invasão de Aplicações Web

    31/512

  • 8/15/2019 Teste de Invasão de Aplicações Web

    32/512

    43

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    Hfjrds sfbætrfhds

    q\bd hfjrd æ aftd sfbætrfhd eu al hgdvl slhrltd qudkae æ jähfn hebputdhfekdnblktlaltlrbfkdr ubd hgdvl d pdrtfr ad eutrd l. lb buftes hdses prätfhes. ds auds sèefiudfs Ser lssl betfve. ds hgdvls alvlb slr hekglhfads dplkds plnds pdrtls qul pdr"tfhfpdb ad hebukfhdéèe

    Es dnierftbes alssd hndssl sèe räpfaes l utfnfzdb hgdvls rlndtfvdblktl plqulkds \b pre"mnlbd alssls lsqulbds. peræb. æ qul e kÿblre al hgdvls lb ubd rlal tlkal d slr irdkal

    Fsse eherrl perqul qudfsqulr auds lktfadals qul qulfrdb sl hebukfhdr al jerbd hek alk "hfdn prlhfsdb hebpdrtfngdr ubd hgdvl Lb ubd rlal heb värfds lktfadals. heksfalrdkae"slqul teae bukae alslod hebukfhdr"sl sliurdblktl heb e rlstdktl ads plsseds ae irupe.e kÿblre tetdn al hgdvls æ adae plne kÿblre al hebmfkdéüls al k. aefs d aefs. fste æ. H k.=

    Eutre premnlbd jukadblktdn klssl lsqulbd æ e ad afstrfmuféèe sliurd al hgdvls. fste æ.hebe auds lktfadals pealb pdrtfngdr ubd hgdvl slb qul ubd tlrhlfrd pdrtl kèe duterf"zdad tebl hekglhfblkte alnd Lssd trehd al hgdvls peal slr jlftd prlslkhfdnblktl eu perblfe al pretehenes hrfpteirä hes pdrd lstdmlnlhfblkte al hgdvls. hebe e pretehene

    Af l"Glnnbdk. per lxlbpne

    Ds hfjrds sfbætrfhds pealb slr hndssf hdads lb hfjrds al mnehes l hfjrds al uxe Ds prf"blfrds sèe dqulnds qul afvfalb e tlxte lb hndre lb mnehes al tdbdkge xe l prehlssdbub mnehe per vlz. heb d blsbd hgdvl al hfjrdblkte Ds hfjrds al uxe. per sud vlz. pealbslr heksfalrdads hfjrds al mnehes sfbpnls heb tdbdkge ukftärfe. bds qul pealb vdrfdr dhgdvl al hfjrdblkte utfnfzdad pdrd trdksjerbdr hdad mnehe D slquïkhfd al hgdvls utfnfzdadsæ hgdbdad al uxe al hgdvls

    Hfjrds dssfbætrfhds

    q\bd hfjrd æ hgdbdad al dssfbætrfhd qudkae sèe utfnfzdads hgdvls afjlrlktls pdrdhfjrdblkte 'hgdvl pÿmnfhd& l alhfjrdblkte 'hgdvl prfvdad&. bds qul sèe rlndhfekdadsbdtlbdtfhdblktl Xeblktl d ÿntfbd prlhfsd slr bdktfad lb sfifne l. kdturdnblktl.alvl slr hebputdhfekdnblktl fkjdhtâvln rlhuplrä"nd d pdr tfr ad hgdvl pÿmnfhd. qul pealslr afstrfmuâad nfvrlblktl

    Lssds hfjrds sèe bufte bdfs nlktds qul ds hfjrds sfbætrfhds l klhlssftdb al hgdvlsbdferls pdrd idrdktfr ub blsbe kâvln al sliurdkéd

    Ser eutre ndae. e kÿblre al hgdvls utfnfzdads æ mlb blker? hdad lktfadal prlhfsd dplkds alub pdr al hgdvls l. dssfb. lb ubd rlal heb k lktfadals. gdvlrä seblktl k pdrls al hgdvls

    Sdrd fnustrdr ub premnlbd fklrlktl d lssd hndssl al hfjrds. fbdifkl e sliufktl hlkärfe? Dnfhlalslod lkvfdr ubd blksdilb slhrltd pdrd Mlte Lnd lktèe emtæb d hgdvl pÿmnfhd alnl al ubd

    jektl qudnqulr 'ubd päifkd wlm. ub dkÿkhfe al oerkdn lth &. utfnfzd"d pdrd hfjrdr d blksdilbl lkvfd e rlsuntdae d Mlte Hebe seblktl Mlte pessuf d hgdvl prfvdad herrlspekalktl.seblktl lnl æ hdpdz al rlhuplrdr d blksdilb erfifkdn Bds e qul dhektlhlrfd sl Lvd. hurfesdper sdmlr ads blksdilks dnglfds. tfvlssl jerklhfae sud hgdvl pÿmnfhd ã Dnfhl hebe slkae dal Mlte5 Hebe Lvd pessuf d hgdvl prfvdad herrlspekalktl. lnd æ hdpdz al emtlr d blksdilberfifkdn al Dnfhl l. lb sliufad. hfjrä"nd heb d hgdvl pÿmnfhd al Mlte. lkvfdkae"ngl e rlsuntdaeKe b alssl hlkärfe. Dnfhl kèe sdmlrfd qul sud blksdilb jef rlvlndad d eutrd pdrtl qul kèeMlte E dtdqul jef pessâvln perqul kèe sl vlrf heu d dutlktfhfadal ad hgdvl pÿmnfhd utfnfzdad.e qul peal slr rldnfzdae per blfe al hlrtf hdaes al hgdvl pÿmnfhd

  • 8/15/2019 Teste de Invasão de Aplicações Web

    33/512

    44

    H d p â t u n e 4 "

    X l i u r d k é d l b

    d p n f h d é ü l s w

    l m

    Jukéüls al gdsg hrfpteiräjfhdsq\bd jukéèe al gdsg hrfpteirä hd æ ubd jukéèe hebputdhfekdnblktl l hflktl qul

    bdplfd hdalfds mfkärfds al tdbdkge drmftärfe pdrd hdalfds mfkärfds al tdbdkge xequdnqulr. hgdbdads al vdnerls gdsg 'Blklzls lt dn. =334&

    Lssls vdnerls hekstftulb ubd lspæhfl al fbprlssèe afiftdn ad hdalfd bdpldad l. per

    fsse. pealb slr lbprlidads pdrd vlrf hdéèe al fktlirfadal ad fkjerbdéèeQrïs preprfladals prlhfsdb slr sdtfsjlftds. pdrd qul lssds jukéüls tlkgdb utfnfadalhrfpteirä hd?

    4 ]lsfstïkhfd ad præ"fbdilb ? pdrd lsslkhfdnblktl qudnqulr vdner gdsg. alvl slrhebputdhfekdnblktl fkjdhtâvln lkhektrdr ubd lktrdad qul slod bdpldad pdrd lnl

    4 ]lsfstïkhfd ad sliukad præ"fbdilb ? adae ub lnlblkte x qudnqulr l slu rlsplh"tfve gdsg. alvl slr hebputdhfekdnblktl fkjdhtâvln lkhektrdr ub lnlblkte afjlrlktlal x qul pessud e blsbe gdsg

    4 ]lsfstïkhfd d henfsüls ? alvl slr hebputdhfekdnblktl fkjdhtâvln lkhektrdr audslktrdads qudfsqulr l afjlrlktls qul pessudb e blsbe gdsg Lssd preprfladal

    afjlrl ad dktlrfer. perqul gä nfmlradal kd lshengd ads auds lktrdads

    Irdéds d lssds preprfladals. jukéüls al gdsg hrfpteirä hds pealb slr lbprlidadspdrd afvlrsds kdnfadals. hebe?

    4 Sretléèe al slkgds lb sfstlbds \kfx%Nfkux ? seblktl es gdsgls ads slkgds sèedrbdzlkdaes lb drqufves Hebe plnd rlsfstïkhfd ad præ"fbdilb. æ fkjdhtâvln rlhu"plrdr ubd slkgd d pdrtfr al ub gdsg lsplhâ he. lnd lkhektrd"sl pretlifad

    4 Zlrf hdéèe ad fktlirfadal al drqufves ? de mdfxdr drqufves irdkals plnd fktlrklt.hebe ds fbdilks al ubd afstrfmuféèe Nfkux. per lxlbpne. æ pessâvln vlrf hdr d fktlirf "adal ae qul jef emtfae. per blfe ae hänhune ae gdsg ad fbdilb l hebpdrdéèe heb egdsg jerklhfae plne sftl Ser hektd ads ÿntfbds auds preprfladals. d premdmfnfadal alub drqufve herrebpfae ilrdr e blsbe gdsg ad fbdilb âktlird æ prdtfhdblktl kundEmslrvl"sl qul lssl use kèe fbplal qul ubd lktfadal bdnfhfesd trequl e drqufve alfbdilb l tdbmæb e drqufve hektlkae e gdsg pdrd vlrf hdéèe al fktlirfadal

    Alsal e dtdqul al Ydki l Vu '=33

  • 8/15/2019 Teste de Invasão de Aplicações Web

    34/512

    4=

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    hebukfhdéèe. kèe æ pessâvln idrdktfr d frrltrdtdmfnfadal. pefs qudnqulr ub alnls æ hdpdz alilrdr e blsbe BDH pdrd ubd adad blksdilb

    qDs preprfladals lsplrdads alssls dnierftbes lstèe nfstdads d sliufr? 4 Jdhfnfadal al hebputdéèe ? adads ubd hgdvl l ubd blksdilb æ jähfn hebputdr eBDH herrlspekalktl

    4 Hebprlssèe ? hdalfds mfkärfds al tdbdkge drmfträrfe sèe bdpldads pdrd hdalfdsmfkärfds al tdbdkge xe

    4 ]lsfstïkhfd ã hebputdéèe ? alvl slr hebputdhfekdnblktl fkjdhtâvln hebputdr. dpdrtfr al ub hekoukte al pdrls 'blksdilb. BDH&. e BDH al ubd blksdilb kèeplrtlkhlktl d lssl hekoukte. slb hekglhfblkte ad hgdvl sfbætrfhd

    Alssds trïs preprfladals. d ÿkfhd rlndhfekdad ã sliurdkéd æ d ÿntfbd Hdse lnd slod qul"mrdad. æ pessâvln jerodr e BDH pdrd ubd blksdilb l pdssä"nd per dutïktfhd

    Dssfkdturds afiftdfsqD dssfkdturd afiftdn æ ubd prfbftfvd hrfpteirä hd lsslkhfdn pdrd prevlr dutlktfhdéèe ad

    erfilb ad blksdilb. fktlirfadal l frrltrdtdmfnfadal Ser blfe alssl blhdkfsbe. ubdlktfadal æ hdpdz al dssehfdr d falktfadal alnd d ubd fkjerbdéèe

    Afjlrlktlblktl al dssfkdturds bdkudfs. qul sèe hekstdktls. d dssfkdturd afiftdn vdrfd aldherae heb d blksdilb slkae dssfkdad l ub slirlae hekglhfae dplkds plne sfikdtärfe

    D dssfkdturd afiftdn æ ubd prfbftfvd hrfpteirä hd lsslkhfdn pdrd prevlr dutlktfhdéèe aderfilb ad blksdilb. fktlirfadal l frrltrdtdmfnfadal Ser blfe alssl blhdkfsbe. ubdlktfadal æ hdpdz al dssehfdr d falktfadal alnd d ubd fkjerbdéèe Afjlrlktlblktl al dssf"kdturds bdkudfs. qul sèe hekstdktls. d dssfkdturd afiftdn vdrfd al dherae heb d blksdilbslkae dssfkdad l ub slirlae hekglhfae dplkds plne sfikdtärfe Xl kèe jessl dssfb. slrfdbufte jähfn jdnsf hdr dssfkdturds afiftdfs. ubd vlz qul mdstdrfd hepfdr ubd hdalfd al mfts

    hekstdktl Dfkad klssd nfkgd. ub rlqufsfte fbpertdktl pdrd d ljltfvfadal ae blhdkfsbe æqul alvl slr hebputdhfekdnblktl fkjdhtâvln hekstrufr ubd blksdilb pdrd ubd dssfkdturdlxfstlktl. mlb hebe ilrdr ubd dssfkdturd jrduaunlktd pdrd ubd blksdilb qudnqulr

    \b lsqulbd al dssfkdturds afiftdfs heksfstl lb ub dnierftbe al ilrdéèe l eutre al vlrf "hdéèe al dssfkdturds E prfblfre preauz ubd dssfkdturd afiftdn. lb jukéèe ad blksdilb lhgdvl prfvdad ae sfikdtärfe. lkqudkte qul e sliukae lbprlid d hgdvl pÿmnfhd l æ utfnfzdaepdrd vlrf hdr sl ubd dssfkdturd æ dutïktfhd. eu slod. sl jef hrfdad per ubd adad lktfadalsemrl ubd fkjerbdéèe lsplhâ hd Lbmerd d irdkal bdferfd alssls blhdkfsbes slod dssf "bætrfhd. lxfstlb dniuks lsqulbds sfbætrfhes. bds qul alplkalb al ubd tlrhlfrd pdrtlhek ävln pdrd lxlhuéèe al dbmes es prehlsses

    Es lsqulbds al dssfkdturds afiftdfs pealb slr hndssf hdaes lb?

    4 Lsqulbds al dssfkdturds afiftdfs heb dpïkafhl ? rlqulrlb d blksdilb erfifkdn pdrde prehlsse al vlrf hdéèe

    4 Lsqulbds al dssfkdturds afiftdfs heb rlhuplrdéèe al blksdilks ? e prehlsse al vlrf "hdéèe kèe rlqulr d blksdilb erfifkdn. qul æ rlhuplrdad d pdrtfr ad prøprfd dssfkdturd

    Hlrtfjfhdaes afiftdfsLxfstl buftd hekjusèe kd nftlrdturd l lktrl pre ssfekdfs al sliurdkéd semrl e qul rldnblktlæ ub hlrtf hdae afiftdn Æ bufte hebub lkhektrdr d rbdéüls al qul lnl slrvl pdrd dutlktfhdrubd lktfadal. hebe ub slrvfaer wlm. per lxlbpne Bds fsse lstä nekil al slr d vlradal

  • 8/15/2019 Teste de Invasão de Aplicações Web

    35/512

    48

    H d p â t u n e 4 "

    X l i u r d k é d l b

    d p n f h d é ü l s w

    l m

    qE prepøsfte al ub hlrtf hdae. kd rldnfadal. æ dtlstdr d dutlktfhfadal ad hgdvl pÿmnfhdal ubd lktfadal. hekaféèe qul æ jukadblktdn pdrd e lbprlie al hrfptessfstlbds dssf"bætrfhes 'Blklzls lt dn . =334&

    Fsse æ emtfae plnd hek dkéd alpesftdad lb ubd tlrhlfrd pdrtl hek ävln. d duterfadalhlrtf hdaerd 'DH&. qul dssfkd afiftdnblktl ub aehublkte lnltrñkfhe hektlkae fkjer "bdéüls semrl ubd adad lktfadal l d hgdvl pÿmnfhd dutïktfhd alnd Lssls adaes. bdfs

    d dssfkdturd afiftdn. hebpülb e hlrtf hdae afiftdn. qul peal slr afstrfmuâae per hdkdfsfksliures. slb e rfshe al dauntlrdéèe fkaltlhtävln

    D lbfssèe. hebe æ hgdbdae e prehlsse alshrfte. alvl eherrlr dplkds dpøs d DH. heb dafnfiïkhfd alvfad. vlrf hdr aehublktes hebpremdtørfes ad falktfadal ad lktfadal l qullnd tlb d pessl ad hgdvl prfvdad dssehfdad Sdrd vdnfadr ub hlrtf hdae afiftdn. æ klhls"särfe vlrf hdr sl d adtd dtudn lstä alktre ae prdze al vdnfadal ae hlrtf hdae. sl lnl kèelstä rlveidae l sl d dssfkdturd afiftdn ad duterfadal hlrtf hdaerd æ vänfad 'lssl prehlsseæ lxlhutdae rlhursfvdblktl de nekie ad hdalfd al hlrtf hdéèe& Lssd ÿntfbd pdrtl rlqulrd hgdvl pÿmnfhd dutïktfhd ad DH. d qudn peal slr emtfad per blfe al ub hlrtf hdae afiftdnlbftfae pdrd lnd. per ubd DH al kâvln suplrfer. eu per blfe al ub hlrtf hdae dutedssfkdae.

    hdse slod ubd DH rdfz Klssl ÿntfbe hdse. e hlrtf hdae æ dssfkdae heb d prøprfd hgdvlprfvdad dssehfdad ã hgdvl pÿmnfhd hektfad klnl \bd vlz qul qudnqulr plssed peal ilrdrub hlrtf hdae dssfb. æ prfberafdn qul lnl slod jerklhfae per ub hdkdn dutïktfhe l âktlire

    Sretehenes XXN l QNXqE Xlhurl Xeh`lts Ndylr 'XXN& æ ubd pfngd al pretehenes alslkvenvfad plnd Kltshdpl. qul

    dtud dhfbd ad hdbdad al trdkspertl. prevlkae slrvfées al dutlktfhdéèe 'bÿtud& allktfadals. dutlktfhdéèe ad erfilb ad blksdilb. hek alkhfdnfadal l fktlirfadal

    D vlrsèe 8 ae XXN jef dvdnfdad pumnfhdblktl l alu erfilb de Qrdkspert Ndylr Xlhurfty 'QNX&v4 3. pdarekfzdae plneFLQJ

    Alssl beae. prllkhgl d ndhukd lxfstlktl kd pfngd QHS%FS. heb rlndéèe d ub blhdkfsbe altrdkspertl sliure al fkjerbdéüls b"d" b Es pretehenes lsplhf hdaes plne pdarèe lstèefnustrdaes kd Jfiurd 4 :

    XXN Gdkasgd`lSretehen

    XXN HgdkilHfpglr Xplh

    XXN DnlrtSretehen GQQS Qlnklt

    XXN ]lhera Sretehen

    QHS

    FS

    ¹¹¹

    qE pretehene XXN ]lhera. rlprlslktdae kd Jfiurd 4 9. æ e rlspeksävln plnes slrvfées alhek alkhfdnfadal. fktlirfadal l dutlktfhfadal ad erfilb ad blksdilb

    Lnl æ utfnfzdae plnes albdfs pretehenes ad pfngd XXN l per pretehenes ad hdbdad al dpnf"hdéèe. hebe e GQQS l e JQS. per lxlbpne E adae al dpnfhdéèe d slr trdkspertdae æ jrdi"blktdae lb afvlrses mnehes qul sèe trdtdaes fkafvfaudnblktl Lb dniuks hdses. eherrlhebprlssèe dktls qul e BDH slod hdnhundae l dafhfekdae de kdn ae mnehe E hekoukte æhfjrdae heb e dnierftbe sfbætrfhe al kfae plne gdkasgd`l l. lb sliufad. æ dafhfekdae e

    FLQJ

    Fktlrklt LkifkllrfkiQds` Jerhl æ ubd

    eridkfzdéèe dmlrtd. slbub prehlsse jerbdn

    al jfnfdéèe. qul aljfklpdarüls tlhkenøifhes

    pdrd d fktlrklt

    Jfiurd 4+: Sfngd al pretehenes

    ae XXN

  • 8/15/2019 Teste de Invasão de Aplicações Web

    36/512

    41

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    hdmlédnge XXN ]lhera. qul fkhnuf d vlrsèe al XXN lbprlidad l falktf hdéèe ae pretehene alhdbdad suplrfer qul prehlssdrä e jrdiblkte

    Adaes ad dpnfhdéèe

    Jrdiblktes

    Hebprlssèe

    Daféèe al BDH

    Hfjrdblkte

    Daféèe ae hdmlédngeXXN ]lhera

    E prøxfbe pretehene fbpertdktl. lxlhutdae ke fkâhfe ad heklxèe. æ e XXN Gdkasgd`l 'Jfiurd 4 7&.qul æ utfnfzdae pdrd dutlktfhdéèe ae slrvfaer 'l lvlktudnblktl ae hnflktl& l al kféèe adshdrdhtlrâstfhds al sliurdkéd d slrlb utfnfzdads kd pretléèe ae hdkdn Ke pdsse 4. e hnflktllkvfd de slrvfaer ds suâtls hrfpteirä hds supertdads. vlrsèe al pretehene. falktf hdaer alslssèe l ub kÿblre ilrdae psluaednldterfdblktl E slrvfaer alvenvl ubd blksdilbheb d suâtl lshengfad. vlrsèe ae pretehene. eutre kÿblre psluaednldtørfe l e blsbe falk"tf hdaer al slssèe. hdse e vdner jerklhfae slod kèe kune E hlr tf hdae afiftdn ae slrvfaer ælkvfdae ke pdsse =. ouktdblktl heb ubd senfhftdéèe al hlrtf hdae ae hnflktl. hdse d dutlk "tfhdéèe bÿtud tlkgd sfae hek iurdad Klssl hdse. lssl hlrtf hdae æ jerklhfae ke pdsse 8.qudkae tdbmæb sèe lkvfdads fkjerbdéüls pdrd e lstdmlnlhfblkte al hgdvls

    Kd ÿntfbd ltdpd. es dnierftbes slnlhfekdaes sèe dtfvdaes per blfe ae pretehene XXN HgdkilHfpglr Xplh l d blksdilb kfsgla . lkvfdad pretlifad heb es keves pdríbltres. æ utfnfzdad pdrdvlrf hdr sl e pretehene trdksherrlu heb suhlsse Fsse sø æ pessâvln sl hdad ubd ads pdrtls hek "sliufr alhfjrdr herrltdblktl lssd ÿntfbd blksdilb lkvfdad Ser b. e XXN Dnlrt Sretehen æ utfnf "zdae pdrd trdkspertdr blksdilks al dnlrtd lktrl es pdrls al ubd slssèe XXN Hdad blksdilbæ hebpestd al dplkds aefs mytls. qul fkafhdb d slvlrfadal ae dnlrtd l d ketf hdéèe lsplhâ hd

    Jfiurd 4+9 XXN ]lheraSretehen

  • 8/15/2019 Teste de Invasão de Aplicações Web

    37/512

    4<

    H d p â t u n e 4 "

    X l i u r d k é d l b

    d p n f h d é ü l s w

    l m

    Q l b p e

    h l r t f ffl h d t l

    ffl k f s g l a

    h g d k i lU h f p g l

    rU s p l h

    '4&

    '=&

    '8&

    '1&

    Hnflktl Xlrvfaer

    h n f l k t Ug l n n e

    s l r v l rU g l n n e

    h l r t f ffl h d t l

    s l r v l rU ̀l yU l

    x h g d k i l

    h l r t f ffl h d t l U r l

    q u l s t

    s l r v l rU g l n n e

    U a e k l

    h n f l k t Ù l y Ul x h g d k i l h l r t f ffl h d t l Uv l r f j y

    h g d k i l Uh f p g l r Us p l h ffl k f s g l a

    Lxlrhâhfe al jfxdéèe =l Xliurdkéd ad fkjerbdéèeTul prfbftfvds hrfpteirä hds sdtfsjdzlb d hdad ub aes rlqufsftes al sliurdkéd ad fkjerbdéèe5

    Tudn æ e prepøsfte al ub hlrtf hdae afiftdn5

    Jfiurd 4+7 XXN Gdkasgd`l

  • 8/15/2019 Teste de Invasão de Aplicações Web

    38/512

    4:

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    ]lvfsèe aes pretehenes GQQS l GQQSXqGyplrQlxt Qrdksjlr Sretehen 'GQQS& æ ub pretehene ad hdbdad al dpnfhdéèe. qul eplrd

    hebe hnflktl"slrvfaer l kèe æ erflktdae d heklxèe Es rlhurses sèe falktf hdaes albdklfrd ÿkfhd per blfe al \kfjerb ]lseurhl Nehdters '\]Ns& GQQS kèe pessuf kdtfvd "blktl klkgub blhdkfsbe pdrd pretlilr es adaes

    GQQSX æ lbprlidae pdrd trdkspertl al adaes sfifneses lb dpnfhdéüls mdkhärfds l alhebærhfe lnltrñkfhe

    GQQS æ ub pretehene ad hdbdad al dpnfhdéèe. utfnfzdae kd afstrfmuféèe al aehublktes algfplrtlxte. es qudfs sèe d mdsl ad Yerna Yfal Ylm 'Jflnafki lt dn. 4666& Lstd jef d irdkalrlspeksävln plnd pepundrfzdéèe ad fktlrklt l æ d jdhl bdfs hekglhfad ad rlal bukafdnKe fkâhfe. es rlhurses dhlssdaes per blfe al GQQS lrdb teaes lstätfhes. mlb afjlrlktl aesafds al geol. lb qul e hektlÿae æ ilrdae afkdbfhdblktl. al dherae heb d fktlrdéèe aeusuärfe heb e sftl

    E pretehene eplrd ke lstfne hnflktl"slrvfaer. ke qudn e kdvlidaer wlm 'hnflktl& rldnfzd ubdrlqufsféèe al rlhurse d ub slrvfaer wlm. qul rlspekal heb e hektlÿae senfhftdae. sl lxfstfr

    GQQS kèe æ erflktdae ã heklxèe l. dssfb. æ ub pretehene qul kèe bdktæb lstdae ads hek "vlrsdéüls E trdkspertl aes adaes. kerbdnblktl. æ rldnfzdae per blfe al QHS%FS. bds fssekèe æ ub rlqufsfte0 mdstd qul e pretehene utfnfzdae jerkléd lktrlid hek ävln Dplsdr afsse.e GQQS kèe æ erflktdae ã heklxèe l. dssfb. æ ub pretehene qul kèe bdktæb e lstdae adshekvlrsdéüls Heksfalrdkae hebe lrd utfnfzdae kes prfbørafes. fsse. al jdte. kèe lrd ubdklhlssfadal Es rlhurses sèe falktf hdaes al bdklfrd ÿkfhd per blfe al \kfjerb ]lseurhlNehdters '\]Ns&. qul herrlspekalb des lkalrlées qul usuärfes afiftdb kes kdvlidaerlspdrd dhlssdrlb sftls lsplhâ hes \bd \]N al kl e pretehene al dhlsse. e slrvfaer aerlhurse. pertd utfnfzdad. hdbfkge ke slrvfaer dtæ e lnlblkte. kebl ae rlhurse l pdríbltresKetl qul klb teaes lssls ftlks sèe emrfidtørfes lb ubd rlqufsféèe

    E pretehene GQQS kèe pessuf kdtfvdblktl klkgub blhdkfsbe pdrd pretlilr esadaes qul hdrrlid

    Dssfb. fkjerbdéüls pealb slr dauntlrdads. fkoltdads eu rlbevfads. al bdklfrd kèe duterf"zdad. aurdktl e tríksfte dtæ e hnflktl eu slrvfaer Sdrd prllkhglr lssd ndhukd. e GQQS pealslr utfnfzdae semrl es pretehenes XXN eu QNX. qul jerklhlb slrvfées pdrd dutlktfhdéèe allktfadals. dutlktfhdéèe ad erfilb ad blksdilb. fktlirfadal l sfifne ae hdkdn al hebu"kfhdéèe Lssl æ e pdarèe hekglhfae hebe GQQSX l lbprlidae pdrd trdkspertl al adaessfifneses lb dpnfhdéüls mdkhärfds l al hebærhfe lnltrñkfhe. per lxlbpne

    ]lqufsféèe

    qSdrd dhlssdr ub rlhurse lb ub slrvfaer. ubd rlqufsféèe GQQS alvl slr rldnfzdad plnehnflktl. al dherae heb ub jerbdte præ"lstdmlnlhfae. hektlkae trïs sléüls D prfblfrdheksfstl lb ubd nfkgd alshrlvlkae d rlqufsféèe0 lb sliufad. afvlrsds nfkgds hebpülbes hdmlédnges GQQS plrtfklktls0 d tlrhlfrd sléèe. ephfekdn. herrlspekal de herpe adblksdilb l alvl vfr slpdrdad ad sliukad. per ubd nfkgd lb mrdkhe

    Hebe fnustrdéèe. heksfalrl qul ub usuärfe alslod vlr e sftl ad Lshend Xuplrfer al ]lals ad]KS. utfnfzdkae e kdvlidaer Jfrljex D sliufktl rlqufsféèe æ jlftd plne sejtwdrl?

    ILQ gttp?%%lsr rkp mr?73% GQQS%4 4Gest? lsr rkp mr

    \slr"Dilkt? Bezfnnd%< 3 'Yfkaews0 \0 Yfkaews KQ < 40 pt"M]0

  • 8/15/2019 Teste de Invasão de Aplicações Web

    39/512

    49

    H d p â t u n e 4 "

    X l i u r d k é d l b

    d p n f h d é ü l s w

    l m

    rv?4 6 = 7& Ilh`e%=34339== Jfrljex%8 : 7 ' KLQ HN] 8 < 839=6&Dhhlpt? tlxt%gtbn.dppnfhdtfek%xgtbn+xbn.dppnfhdtfek%xbn0q23 6./%/0q23 7Dhhlpt"Ndkiudil? pt"mr.pt0q23 7.lk"us0q23

  • 8/15/2019 Teste de Invasão de Aplicações Web

    40/512

    47

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    BæteaesqGä efte bæteaes. de teae. lsplhf hdaes plne pretehene GQQS. es qudfs fkafhdb d déèe

    senfhftdad plnd rlqufsféèe Es aefs bdfs fbpertdktls. ke lshepe alssl tlxte. sèe esbæteaes ILQ l SEXQ

    E prfblfre æ utfnfzdae pdrd senfhftdr päifkds de slrvfaer l plrbftl qul pdríbltres slodb

    pdssdaes hebe pdrtl ad \]N ae rlhurse Fsse fbpnfhd qul fkjerbdéüls slksâvlfs kèe alvlbslr pdssdads per blfe al ILQ. pefs lnds slrèe lxfmfads lb gfstørfhes al kdvlidaerls lrlifstrdads lb trfngds al duafterfd. ke slrvfaer wlm E bæteae SEXQ æ lbprlidae pdrdsumbltlr déüls de slrvfaer l es pdríbltres pealb slr pdssdaes hebe pdrtl ae herpe adblksdilb l. tdbmæb. ad \]N

    Høafies al lstdaeqHøafies al lstdae sèe vdnerls kubærfhes al trïs aâiftes. qul jdzlb pdr tl ad prfblfrd

    nfkgd ad rlspestd ae slrvfaer d ubd rlqufsféèe l alketdb e rlsuntdae ad senfhftdéèe

    Xèe afvfafaes lb hfkhe hndssls. al dherae heb e sfikf hdae?

    4 4xx? høafies al fkjerbdéèe Dtudnblktl. sèe rdrdblktl utfnfzdaes4 =xx? fkafhdb qul d rlqufsféèe jef dtlkafad heb suhlsse Lx ? =33 E@ ‘ rlspestd pdarèe.

    qudkae e rlhurse æ prevfae slb lrres

    4 8xx? fkjerbdb qul e hnflktl prlhfsd rldnfzdr déüls dafhfekdfs pdrd hebpnltdr d rlquf"sféèe Lx ? 834 Bevla Slrbdklktny ‘ jdz heb qul rlqufsféüls sumslqulktls ã ad \]Nsenfhftdad slodb plrbdklktlblktl rlafrlhfekdads pdrd d fkjerbdad kd blksdilb

    4 1xx? lkvfdads qudkae d rlqufsféèe kèe peal slr dtlkafad. per lrre al sfktdxl. jdntd alduterfzdéèe eu perqul e rlhurse kèe jef lkhektrdae Lx ? 131 Ket Jeuka ‘ e rlhurse kèepñal slr lkhektrdae ke slrvfaer

    4

  • 8/15/2019 Teste de Invasão de Aplicações Web

    41/512

    46

    H d p â t u n e 4 "

    X l i u r d k é d l b

    d p n f h d é ü l s w

    l m

    4 Lxpfrls ? altlrbfkd d vdnfadal ae herpe ad blksdilb. fste æ. dtæ qul fkstdktl e kdvl"idaer peal utfnfzä"ne. d pdrtfr al ubd høpfd nehdn. slb klhlssftdr rldnfzdr kevds rlqufsf"éüls pdrd e blsbe rlhurse

    4 Hektlkt"Nlkitg ? e hebprfblkte lb mytls ae herpe ad blksdilb

    Hee`fls

    q\b hee`fl æ ub lnlblkte ae pretehene GQQS. lkvfdae de kdvlidaer plne slrvfaer. hebe emoltfve al nlbmrdr fkjerbdéüls al ub usuärfe lsplhâ he Æ jerbdae per ubd hdalfdal hdrdhtlrls. kerbdnblktl eridkfzdad lb pdrls kebl%vdner. slpdrdaes per pekte lvâriund \bd vlz al kfae. æ lkvfdae plne kdvlidaer lb tead rlqufsféèe sumslqulktlde blsbe aebâkfe Aefs uses prfkhfpdfs sèe d bdkutlkéèe al slssèe. ubd vlz qul fssekèe æ supertdae kdtfvdblktl plne pretehene. l d dutlktfhdéèe al usuärfes

    Dniuks dtrfmutes pealb slr al kfaes pdrd es hee`fls. dnæb aes pdrls hektlkae kebl lvdner 'Xtuttdra l Sfkte. =339&?

    4 lxpfrls ? al kl per qudkte tlbpe e hee`fl æ vänfae l. dssfb. plrbftl qul e lstdae slbdktlkgd dpøs e kdvlidaer slr lkhlrrdae

    4 aebdfk ? al kl pdrd qudfs aebâkfes e hee`fl æ vänfae. alsal qul e slrvfaer slod ubblbmre adqulnls

    4 pdtg ? al kl es hdbfkges pdrd es qudfs e hee`fl æ vänfae4 slhurl ? albdkad qul e hee`fl slod lkvfdae seblktl lb rlqufsféüls jlftds per blfe al GQQSX

    4 GttpEkny ? qudkae al kfae. fbplal qul slod dhlssdae per høafie lxlhutdae ke ndae aehnflktl Seræb. klb teae kdvlidaer gekrd lssl dtrfmute

    Dutlktfhdéèe GQQSqE pretehene GQQS pessuf aefs bæteaes kdtfves. Mdsfh l Afilst. pdrd dutlktfhdr usuärfes

    dktls qul dhlsslb rlhurses pretlifaes ae slrvfaer 'Jrdk`s lt dn .4666&

    Dbmes sliulb e sliufktl uxe ilrdn?

    4 \suärfe senfhftd ub rlhurse pretlifae ae slrvfaer

    = Xl e usuärfe dfkad kèe sl dutlktfheu. ubd rlspestd heb høafie al lstdae 134\kdutgerfzla æ lkvfdad de kdvlidaer. ouktdblktl heb ub hdmlédnge YYY"Dutglktfhdtl. qul al kl e tfpe rlqulrfae al dutlktfhdéèe

    8 E usuärfe jerklhl usuärfe l slkgd lb ubd hdfxd al afäneie. es qudfs sèe lkvfdaes. lbub hdmlédnge Dutgerfzdtfek. heaf hdaes lb MDXL:1. ke hdse al Mdsfh. l pretlifaes plne

    dnierftbe BA

  • 8/15/2019 Teste de Invasão de Aplicações Web

    42/512

    =3

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    Lxlrhâhfe al jfxdéèe 8l Sretehene GQQSTudfs ds prfkhfpdfs hdrdhtlrâstfhds ae pretehene GQQS5

    Hebe jukhfekd e pretehene GQQS5

    Hebe rlqufsféüls GQQS erfukads al ub blsbe usuärfe pealb slr dirupdads lb ubdÿkfhd hekvlrsdéèe5

    Lsqulbds al heafjfhdéèeq\b prehlsse al heaf hdéèe heksfstl lb sumstftufr lnlblktes al ub hekoukte per ftlks

    al eutre. sliukae ubd rlird præ"lstdmlnlhfad. al beae qul e sfbpnls hekglhfblkte adstrdksjerbdéüls al fad l ventd æ su hflktl pdrd rldnfzdr ds trdauéüls lktrl es aefs aebâkfes

    Lb sliurdkéd al dpnfhdéüls wlm. lsqulbds al heaf hdéèe pealb slr lbprlidaes kdpretléèe hektrd dniuks dtdquls. hebe e hress"sftl shrfptfki. per lxlbpne. l. lb tlstls alfkvdsèe. pdrd d hekstruéèe herrltd aes vlterls al tlstl. qudkae lstls sèe pdssdaes perblfe al \]Ns. dnæb ae hekterke al ntres al lktrdad

    Heafjfhdéèe al \]N q\bd \]N ‘ eu bdfs ilrdnblktl ubd \]F ‘ peal hektlr seblktl hdrdhtlrls DXHFF fbprf "bâvlfs. hekjerbl lsplhf hdae plnd ]JH 867: Dniuks alnls pessulb sfikf hdae lsplhfdnlb \]Ns. dtudkae hebe alnfbftdaerls. l. dssfb. sèe hndssf hdaes hebe rlslrvdaesTudkae prlhfsdb slr utfnfzdaes hebe adaes. klssl hektlxte. alvlb slr heaf hdaes.pdrd qul pessdb slr herrltdblktl falktf hdaes hebe tdfs E bæteae lbprlidae.hgdbdae al heaf hdéèe al \]N eu heaf hdéèe plrhlktudn. heksfstl ke use al ubhdrdhtlrl „,‒ sliufae al aefs aâiftes glxdalhfbdfs. qul rlprlslktdb e vdner kubærfheae adae slkae heaf hdae

    Ser lxlbpne. ub lspdée. huoe vdner DXHFF æ 8=. æ bdpldae pdrd „,=3‒. al dherae heb lssllsqulbd Ketl qul. lb \]Ns. lspdées tdbmæb pealb slr sumstftuâaes plne hdrdhtlrl „+‒

    Æ fbpertdktl blkhfekdr qul hdrdhtlrls kèe fbprfbâvlfs alvlb slbprl slr heaf hdaessliukae lssl lsqulbd. dssfb hebe es rlslrvdaes. lkqudkte qul es albdfs lnlblktespealb slr trdksjerbdaes. lbmerd fsse kèe slod emrfidtørfe

    D Jfiurd 4 6 fnustrd d heaf hdéèe al teaes es hdrdhtlrls rlslrvdaes al dherae heb d ]JH867: Æ fbpertdktl blkhfekdr qul hdrdhtlrls kèe fbprfbâvlfs alvlb slbprl slr heaf "hdaes sliukae lssl lsqulbd. dssfb hebe es rlslrvdaes. lkqudkte qul es albdfs lnl"blktes pealb slr trdksjerbdaes. sl alslodae. lbmerd fsse kèe slod emrfidtørfe

  • 8/15/2019 Teste de Invasão de Aplicações Web

    43/512

    =4

    H d p â t u n e 4 "

    X l i u r d k é d l b

    d p n f h d é ü l s w

    l m

    Hdrdhtlrlrlslrvdae

    Hdrdhtlrlheafjfhdae

    $ ,=4

    / ,=D

    ‗ ,=9

    ' ,=7

    & ,=6

    0 ,8M

    ? ,8D

    C ,13

    * ,=:

    Heafjfhdéèe GQBN qDniuks hdrdhtlrls pessulb sfikf hdae lsplhfdn lb GQBN l. dssfb. sl jer klhlssärfelxfmf"nes hebe pdrtl ae hektlÿae. æ klhlssärfe heaf hä"nes. pdrd qul kèe slodb heksfal "rdaes hebe bltdhdrdhtlrls plne kdvlidaer wlm Lxfstlb trïs bdklfrds al ljltudr lssdtdrljd. alshrftds d sliufr?

    4 *>kebl ad lktfadal;0 ‘ es hdrdhtlrls lsplhfdfs pessulb kebls lsplhâ hes lbGQBN. es qudfs pealb slr lbprlidaes ke prehlsse al heaf hdéèe Ser lxlbpne. ehdrdhtlrl „>‒ æ heaf hdae hebe „*nt0‒. pefs „nt‒ æ e kebl al lktfadal lsplhf hdae plnepdarèe pdrd lssl sâbmene

    4 *(>kÿblre alhfbdn;0 ‘ utfnfzd e vdner \kfheal ae hdrdhtlrl. lb mdsl alhfbdn Serlxlbpne. „>‒ æ heaf hdae hebe „*(:30‒ 4 *(x>kÿblre glxdalhfbdn;0 ‘ falb de hdse dhfbd. peræb. rlprlslktdae lb mdslglxdalhfbdn Dpnfhdkae de blsbe lxlbpne. emtæb"sl „*(x8h0‒

    Hdrdhtlrlrlslrvdae

    Hdrdhtlrlheafjfhdae

    2 ,8A

    + ,=M

    ! ,=1

    . ,=H

    % ,=J

    5 ,8J

    ( ,=8

    P ,

  • 8/15/2019 Teste de Invasão de Aplicações Web

    44/512

    ==

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

  • 8/15/2019 Teste de Invasão de Aplicações Web

    45/512

    =8

    H d p â t u n e 4 "

    ] e t l f r e a l D t f v f a d a l s

    ]etlfre al Dtfvfadals 4

    Dtfvfadal 4 ‘ Drquftlturds l tlhkeneifds al dpnfhdéüls wlm

    Falktf qul d drquftlturd l ds tlhkeneifds lbprlidads per ubd ads dpnfhdéüls wlm utfnf "zdads plnd lbprlsd lb qul trdmdngd Alslkgl d tepeneifd al rlal hektlkae es lnlblktesprfkhfpdfs qul supertdb d dpnfhdéèe

    Dtfvfadal = ‘ Blhdkfsbes hrfpteiräjfhesKlstd dtfvfadal. e dnuke dprlkalrä hebe utfnfzdr es afvlrses blhdkfsbes hrfpteirä hesvfstes kd slssèe al dprlkafzdilb D jlrrdblktd qul slrä lbprlidad æ e EplkXXN. dnæbal eutres preirdbds dhlssørfes Sdrd fkfhfdr lstd dtfvfadal. dmrd ub tlrbfkdn kd bäqufkdvfrtudn ae dnuke. bual pdrd e afrltørfe Drqufves ae Hurse%slssèe"34l sfid e retlfre dmdfxe

    Hfjrds sfbætrfhds

    E Davdkhla Lkhryptfek Xtdkadra 'DLX& æ ubd hfjrd sfbætrfhd al mnehes daetdad plneievlrke kertl"dblrfhdke l alshrf td ke aehublkte JFSX S\M 469 E DLX lsplhf hd e dnie "rftbe ]fokadln. eplrdkae semrl mnehes al adaes al 4=7 mfts l heb hgdvls al 4=7. 46= eu=drqufve d slr hfjrdae; "eut >drqufve hfjrdae;"@ >hgdvl lb glxdalhfbdn;"fv >vlter al fkfhfdnfzdéèe;

    Hfjrl e drqufve drq33= txt heb d hgdvl ilrdad ke pdsse 4 l heb fv 2 3. drbdzlkdkae e rlsuntdaelb drq33= lkh Zlrf qul e tdbdkge alssl drqufve l emslrvl qul lnl æ bÿntfpne al 4: mytls'4=7 mfts ‘ tdbdkge ae mnehe DLX&. lbmerd e drqufve erfifkdn kèe slod Fsse eherrl perqul hfjrds

  • 8/15/2019 Teste de Invasão de Aplicações Web

    46/512

    =1

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    sfbætrfhds al mnehes eplrdb slbprl lb ukfadals al tdbdkge xe præ"al kfae l. qudkae eÿntfbe mnehe kèe æ bÿntfpne alssl tdbdkge. lnl æ hebpnltdae lb ub prehlsse al pdaafki

    ]lpftd e prehlsse pdrd e drqufve drq334 txt. drbdzlkdkae e rlsuntdae lb drq334 lkh.l vlrf qul es tdbdkges aes aefs drqufves Ketl qul ub mnehe dafhfekdn al 4: mytls jefdafhfekdae de drqufve hfjrdae. dplsdr ae drqufve erfifkdn slr bÿntfpne ae tdbdkge ae mneheutfnfzdae plne DLX Klssl hdse. ub mnehe al pdaafki alvl slr fkhnuâae. pdrd qul e dnierftbe

    pessd afjlrlkhfdr es aefs hdses. ke prehlsse al alhfjrdblkte

    8 Alhfjrdkae blksdilks

    E hebdkae pdrd alhfjrdr blksdilks heb e dnierftbe DLX. usdkae ubd hgdvl al 4=7 mfts.ke beae al eplrdéèe HMH. æ?

    eplkssn dls"4=7"hmh ‘a ‘fk >drqufve hfjrdae; "eut >drqufve alhfjrdae;"@ >hgdvl lb glxdalhfbdn;"fv >vlter al fkfhfdnfzdéèe;

    Alhfjrl e drqufve drq33= lkh.drbdzlkdkae e rlsuntdae lb drq33= pndfk Zlrf qul qul ehektlÿae alssl drqufve æ e blsbe al drq33= txt

    ]lpftd e prehlsse heb ubd hgdvl afjlrlktl ad utfnfzdad ke prehlsse al hfjrdblkte \bdblksdilb al lrre slrä lxfmfad. pefs seblktl æ pessâvln alhfjrdr e drqufve heb d blsbdhgdvl utfnfzdad pdrd pretliï"ne

    Hfjrds dssfbætrfhds

    E ]XD. huoe kebl alrfvd aes hrfdaerls ]fvlst. Xgdbfr l Danlbdk. jef d prfblfrd hfjrd dssfbæ"trfhd ad gfstørfd ad hrfpteird d l æ mdsldad kd af hunadal ad jdterdéèe al kÿblres fktlfresirdkals Dtudnblktl. æ e hrfptessfstlbd al hgdvl pÿmnfhd bdfs utfnfzdae. prfkhfpdnblktl. kdkliehfdéèe al tÿklfs XXN%QNX

    4 Ilrdéèe al ub pdr al hgdvls ]XD\b pdr al hgdvls ]XD heksfstl lb ubd hgdvl pÿmnfhd 'l. k& l ad hgdvl prfvdad herrlspek"alktl a Lxlhutl e hebdkae dmdfxe pdrd ilrdéèe al ub pdr al hgdvls al ` mfts. heb ` 2 =317

    eplkssn ilkrsd ‘eut >drqufve qul drbdzlkdrä pdr al hgdvls;>tdbdkge lb mfts ad hgdvl;

    = Zfsudnfzdéèe ae pdr al hgdvls ]XD

    Sdrd vfsudnfzdr e pdr al hgdvls ilrdae. lxlhutl e sliufktl hebdkae?

    eplkssn rsd ‘fk >drqufve hektlkae pdr al hgdvls;

    Æ jähfn emslrvdr qul e jerbdte ad sdâad kèe æ dalqudae pdrd d vfsudnfzdéèe al hdad ubd adshgdvls Sdrd ubd sdâad bdfs dbfiävln. tlktl e sliufktl hebdkae?

    eplkssn rsd ‘fk >drqufve hektlkae pdr al hgdvls; "tlxt ‘keeut

    D sdâad dierd lstä lb glxdalhfbdn l tïb"sl? hgdvl pÿmnfhd 2 'pumnfhLxpeklkt. beaunus& lhgdvl prfvdad 2 'prfvdtlLxpeklkt&

    8 Lxpertdéèe ad hgdvl pÿmnfhd

    Sdrd qul ds plsseds pessdb hfjrdr blksdilks pdrd vehï. æ klhlssärfe qul lnds tlkgdb ubdhøpfd dutïktfhd ad sud hgdvl pÿmnfhd Kerbdnblktl. fsse æ jlfte per blfe al hlrtf hdaes

  • 8/15/2019 Teste de Invasão de Aplicações Web

    47/512

    =<

    H d p â t u n e 4 "

    ] e t l f r e a l D t f v f a d a l s

    afiftdfs. bds. per lkqudkte. dplkds lxpertdrlbes d hgdvl pÿmnfhd pdrd ub drqufve slpd"rdae. ad sliufktl bdklfrd?

    eplkssn rsd ‘fk >drqufve hektlkae pdr al hgdvls; "pumeut ;>drqufve qul hektlrä hgdvl pÿmnfhd;

    1 Hfjrdkae blksdilks

    Klssl pdsse æ klhlssärfe afspekfmfnfzdr sud hgdvl pÿmnfhd pdrd dqulnls qul qulfrdblkvfdr"ngl blksdilks sfifnesds Dssfb. jerkléd e drqufve ilrdae ke pdsse dktlrfer pdrdub al slus henlids

    Hrfl ub drqufve tlxte qudnqulr blker qul =33 mytls l lxlhutl e hebdkae dmdfxe pdrdhfjrä"ne. usdkae d hgdvl pÿmnfhd prlvfdblktl jerklhfad

    eplkssn rsdutn ‘fk >drqufve d slr hfjrdae; "eut >drqufve hfjrdae;"fk`ly >drqufve al hgdvl pÿmnfhd ae alstfkdtärfe;"pumfk ‘lkhrypt

    Zlrf qul e hektlÿae ae drqufve hfjrdae l vlod qul lnl æ mfkärfe. kèe tlkae klkgubd rlndéèe

    heb e drqufve lb hndre Seræb. emslrvl qul e tdbdkge ae drqufve æ lxdtdblktl e blsbequl e tdbdkge ad hgdvl

    < Alhfjrdkae blksdilks

    ]lpdssl e drqufve ilrdae d slu henlid qul afspekfmfnfzeu d hgdvl pÿmnfhd. pdrd qul lnlpessd rlhuplrdr d blksdilb erfifkdn Lkvfl tdbmæb e drqufve hfjrdae d eutre henlid qulkèe pessud d hgdvl prfvdad herrlspekalktl

    E hebdkae pdrd alhfjrdblkte æ?

    eplkssn rsdutn ‘fk >drqufve hfjrdae; "eut >drqufve alhfjrdae;"fk`ly >drqufve heb hgdvl prfvdad;"alhrypt

    E alstfkdtärfe herrlte heksliufrä alhfjrdr e drqufve l rlhuplrdr e drqufve erfifkdn.lkqudkte qul e usuärfe qul kèe pessuf d hgdvl prfvdad herrlspekalktl emtlrä lrre delxlhutdr e hebdkae dhfbd

    : Drqufves irdkals

    ]lpftd e pdsse lxpnfhdae ke ftlb 1 pdrd ub drqufve qul slod bdfer qul e bøaune ad hgdvl'afvfad e tdbdkge lb mfts per 7& E qul dhektlhl5 Lssl lrre eherrl perqul e ]XD kèe pealslr utfnfzdae pdrd pretlilr blksdilks bdferls qul e tdbdkge ae bøaune

    Jukéüls al gdsg hrfpteiräjfhds4 Hftl trïs uses al jukéüls al gdsg hrfpteirä hds

  • 8/15/2019 Teste de Invasão de Aplicações Web

    48/512

    =:

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    = Nfstdilb al jukéüls al gdsg hrfpteirä hds supertdads plne EplkXXN

    E EplkXXN supertd kdtfvdblktl afvlrsds jukéüls al gdsg hrfpteirä hds. dnæb al eutresdnierftbes hrfpteirä hes Sdrd vlrf hdr d nfstd al gdsgls supertdaes. afiftl?

    bdk aist

    8 Hänhune al gdsgls

    D sfktdxl utfnfzdad plne EplkXXN pdrd hänhune al gdsgls al ub drqufve qudnqulr æ?

    eplkssn aist ">dnierftbe; >nfstd al drqufves; Hdnhunl es gdsgls aes drqufves dmdfxe l vlrf qul qul sèe lxdtdblktl es blsbes qul esdprlslktdaes kd tdmlnd

    BA<

    drqgdsg34 txt '„‒& a14a7ha67j33m=31l6733667lhj71=9l

    drqgdsg3= txt '„d‒& 3hh49

  • 8/15/2019 Teste de Invasão de Aplicações Web

    49/512

    =9

    H d p â t u n e 4 "

    ] e t l f r e a l D t f v f a d a l s

    Dierd. lxlhutl e drqufve ilrdae pdrd emtlr ub pdr al drqufves. bsi4 l bsi=. pdrd es qudfse BA< henfal Hdse d lxlhuéèe alberl bdfs qul < bfkutes. hdkhlnl e preirdbd l e rlfkfhfl

    %batdbdkge lb mfts ad hgdvl;

    = Lxpertdkae d hgdvl pÿmnfhd

    Sdrd qul plsseds pessdb vlrf hdr dssfkdturds afiftdfs ilrdads per vehï. æ klhlssärfe qul lndstlkgdb ubd høpfd dutïktfhd ad sud hgdvl pÿmnfhd Kerbdnblktl. fsse æ jlfte per hlrtf hdaesafiftdfs. bds. per lkqudkte. dplkds lxpertdrlbes d hgdvl pÿmnfhd pdrd ub drqufve slpdrdae?

    eplkssn rsd ‘fk >drqufve hektlkae pdr al hgdvls; "pumeut ;>drqufve qul hektlrä hgdvl pÿmnfhd;

    8 Dssfkdkae blksdilks

    E EplkXXN fbpnlblktd e ]XD heb rlhuplrdéèe ad blksdilb l. per fsse. seblktl pealbslr dssfkdaes adaes blkerls qul e tdbdkge ad hgdvl Lshengd ub drqufve qul alsloddssfkdr afiftdnblktl l lxlhutl e hebdkae dmdfxe

    eplkssn rsdutn "sfik‘fk >drqufve d slr dssfkdae;

    "eut >drqufve qul drbdzlkdrä d dssfkdturd;"fk`ly >drqufve hektlkae hgdvl prfvdad;‘p`hs

    ]lpdssl e drqufve al dssfkdturd afiftdn d eutre dnuke. ouktdblktl heb sud hgdvl pÿmnfhd.pdrd qul lnl pessd vlrf hdr d dssfkdturd

    1 Zlrf hdkae dssfkdturds

    Sdrd vlrf hdr d dssfkdturd lkvfdad plne slu henlid. utfnfzl e hebdkae?

    eplkssn rsdutn ‘vlrfjy"fk >drqufve hektlkae dssfkdturd;

  • 8/15/2019 Teste de Invasão de Aplicações Web

    50/512

    =7

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    "fk`ly >drqufve hektlkae hgdvl pÿmnfhd;"pumfk"p`hs"eut >drqufve rlhuplrdae ad dssfkdturd;

    Xl d dssfkdturd jer vänfad. klkgubd blksdilb slrä lxfmfad l e drqufve erfifkdn slrä rlhu"plrdae l irdvdae ke drqufve lsplhf hdae plne pdríbltre ‘eut

    Hlrtfjfhdaes afiftdfs

    Hekjerbl afshutfae. lb hrfptessfstlbds dssfbætrfhes æ jukadblktdn qul slodb utfnfzdadshgdvls pÿmnfhds dutïktfhds E kèe dtlkafblkte alssl rlqufsfte al sliurdkéd terkd es prete"henes vunklrävlfs d dtdquls bdk"fk"tgl"bfaanl. per lxlbpne \bd bdklfrd al senuhfekdr lsslpremnlbd heksfstl lb lkhdpsundr ubd hgdvl pÿmnfhd lb ub hlrtf hdae afiftdn. qul æ afiftdn "blktl dssfkdae per ubd tlrhlfrd pdrtl hek ävln. hgdbdad al duterfadal hlrtf hdaerd

    E emoltfve alstd dtfvfadal æ fnustrdr hebe hlrtf hdaes pealb slr rlqufsftdaes l hebe æ eprehlsse al lbfssèe al hlrtf hdaes afiftdfs. per pdrtl ad duterfadal hlrtf hdaerd

    4 Ilrdkae d rlqufsféèe al hlrtf hdae

    Heksfalrl"sl e pdr al hgdvls ilrdae kd dtfvfadal semrl dssfkdturds afiftdfs Sdrd qul tlr"hlfres pessdb vlrf hdr dssfkdturds ilrdads heb d hgdvl prfvdad lb qulstèe. lnls prlhfsdbtlr dhlsse ã hgdvl pÿmnfhd dutïktfhd herrlspekalktl. d qudn kerbdnblktl æ afstrfmuâadlkhdpsundad lb ub hlrtf hdae afiftdn Sdrd lssl b. e prfblfre pdsse dpøs d ilrdéèe aepdr al hgdvls æ prlpdrdr ubd rlqufsféèe 'ke jerbdte S@HX (43& d slr lkvfdad d ubd duterf "adal hlrtf hdaerd. pdrd lbfssèe ae hlr tf hdae E hebdkae d slr lxlhutdae æ?

    eplkssn rlq ‘klw ‘`ly >drqufve hektlkae pdr al hgdvls;‘eut >drqufve qul hektlrä rlqufsféèe;‘sgd4

    E EplkXXN senfhftdrä ds fkjerbdéüls d slrlb fkhnuâads ke hlrtf hdae?

    4 Heuktry Kdbl '= nlttlr heal& PIMR? " Lx ? mr 4 Xtdtl er Srevfkhl Kdbl 'junn kdbl&? " Lx ? sp 4 Nehdnfty Kdbl 'li. hfty& PKlwmuryR? " Lx ? Hdbpfkds 4 Eridkfzdtfek Kdbl 'li. hebpdky& PBy Hebpdky Nta R? " Lx ? ]KS 4 Eridkfzdtfekdn \kft Kdbl 'li. slhtfek& PR? " Lx ? LX] 4 Hebbek Kdbl 'li. yeur kdbl er yeur slrvlr‖s gestkdbl& PR? " Lx ? Jundke al Qdn 4 Lbdfn Daarlss PR? " Lx ? jundkeClsr rkp mr 4 D hgdnnlkil pdsswera PR? " Lx ? slkgdaf hfn 4 Dk eptfekdn hebpdky kdbl PR? " Lx ? Eutre

    = Lxfmfkae d rlqufsféèe al hlrtf hdae

    Sdrd vfsudnfzdr d rlqufsféèe. lxlhutl e sliufktl hebdkae?

    eplkssn rlq ‘fk >drqufve al rlqufsféèe al hlrtfjfhdae;

    Æ jähfn emslrvdr qul e jerbdte al sdâad kèe æ dalqudae pdrd d vfsudnfzdéèe ad rlqufsféèeSdrd ubd sdâad bdfs dbfiävln. tlktl e sliufktl hebdkae?

    eplkssn rlq ‘fk >drqufve al rlqufsféèe al hlrtfjfhdae; ‘tlxt ‘keeut

  • 8/15/2019 Teste de Invasão de Aplicações Web

    51/512

    =6

    H d p â t u n e 4 "

    ] e t l f r e a l D t f v f a d a l s

    8 Lbftfkae e hlrtf hdae

    D rlqufsféèe ilrdad alvl slr lkhdbfkgdad ã duterfadal hlrtf hdaerd pdrd lbfssèe aehlrtf hdae Kd prätfhd. tdbmæb æ klhlssärfe prevdr sud falktfadal. plssednblktl. per blfeal aehublktes dpreprfdaes 'sl kèe jessl dssfb. hebe slrfd pessâvln dtlstdr qul d hgdvlpÿmnfhd plrtlkhl d jundke5& E sejtwdrl pdrd ubd plqulkd HD oä lstä fkstdndae kes hebpu"tdaerls l. dssfb. pealrlbes vlr hebe e hlrtf hdae æ ilrdae d pdrtfr ad r lqufsféèe

    E hebdkae qul peal slr lxlhutdae pdrd lbftfr e hlrtf hdae æ?

    eplkssn hd ‘ba sgd4‘fk >drqufve al rlsqufsféèe al hlrtfjfhdae;‘eut >drqufve qul hektlrä e hlrtfjfhdae;

    Es adaes ad senfhftdéèe sèe lxfmfaes l e EplkXXN plriuktd sl sl alslod dssfkdr e hlrtf "hdae Dpøs ubd rlspestd pesftfvd. ub hlrtf hdae slrä lbftfae l drbdzlkdae ke afrltørfe % lth%ssn%hd"lsr"rkp%klwhlrts. heb høpfd ke drqufve lsplhf hdae plne pdríbltre ‘eut

    1 Lxfmfkae ds fkjerbdéüls ae hlrtf hdae

    Sdrd vfsudnfzdr e hektlÿae ae hlr tf hdae. lxlhutl e sliufktl hebdkae?

    eplkssn xhlrtfjfhdae afiftdn; ‘tlxt ‘keeut

    < Zlrf hdkae d dssfkdturd ad DH semrl e hlrtf hdae

    Al kdad dafdktd rlhlmlr ub hlrtf hdae afiftdn l kèe vlrf hdr ds dssfkdturds afiftdfs kd hdalfdal hlrtf hdaes qul nlvdb ã DH rdfz Xl lssl fbpertdktl pdsse kèe jer rldnfzdae. hektfkudbesslb pealr dtlstdr d dutlktfhfadal ad hgdvl pÿmnfhd rlhlmfad Zlrf qul heb e hebdkae dmdfxee hlrtf hdae lbftfae. heksfalrdkae qul e hlrtf hdae ad DH rdfz æ hdhlrt plb?

    eplkssn vlrfjy ‘HDjfnl >hlrtfjfhdae ad DH rdfz;>hlrtfjfhdae d slr vlrfjfhdae;

    Xl d vdnfadéèe kèe alr lrres. e kebl ae hlrtf hdae slrä lshrfte sliufae al E`

    : Lxtrdfkae d hgdvl pÿmnfhd hektfad ke hlrtf hdae

    Sdrd hfjrdr adaes pdrd ubd plssed eu vlrf hdr dssfkdturds qul lnd tlkgd ilrdae. æ klhls "särfe lxtrdfr d hgdvl pÿmnfhd ae hlrtf hdae afiftdn vdnfadae E hebdkae qul rldnfzd fsse æ?

    eplkssn xhlrtfjfhdae afiftdn; "pum`ly ‘keeut ;>drqufve qul hektlrä hgdvl pÿmnfhd;

    Lstd dtfvfadal tlb e emoltfve al fnustrdr es pretehenes GQQS l GQQSX. plrbftfkae qul ednuke hebprllkad afvlrses dsplhtes lkvenvfaes lb ubd fktlrdéèe heb ubd dpnfhdéèe wlm

    ]lqufsféèe l rlspestd

    E emoltfve alstd dtfvfadal æ fnustrdr hebe sèe rlqufsféüls l rlspestds GQQS. per blfe addkänfsl aes pdhetls al ubd senfhftdéèe de slrvfaer wlm al lxlbpne Es pdsses qul alvlb

    slr lxlhutdaes lstèe alshrftes kes ftlks d sliufr?

    4 Fkfhfl e Yfrlsgdr`. prlslktl ke blku Dpnfhdtfves^Hurse ‘ Jlrrdblktds Sdrd heksliufr hdp"turdr es pdhetls. d dpnfhdéèe alvl slr lxlhutdad lb beae prfvfnlifdae l. per fsse. ubdslkgd slrä senfhftdad Afiftl „lsruslr‒ l hnfqul lb E`

  • 8/15/2019 Teste de Invasão de Aplicações Web

    52/512

    83

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    = Hnfqul ke prfblfre âhekl ad mdrrd al jlrrdblktds pdrd nfstdr ds fktlrjdhls al rlal afspekâ"vlfs pdrd hdpturd Kd hdfxd al afäneie qul dpdrlhl. hnfqul lb Eptfeks . kd nfkgd „ltg4‒ Kehdbpe Hdpturl ntlr . afiftl „thp pert gttp‒ l hnfqul lb Xtdrt pdrd fkfhfdr d hdpturd al pdhetls

    8 Fkfhfl e Jfrljex l afiftl kd mdrrd al lkalrlées „lxlbpne lsr rkp mr‒

    1 Sdrl d hdpturd al pdhetls ke Yfrlsgdr` hnfhdkae ke qudrte metèe ad mdrrd al jlrrdblktds'Xtep tgl rukkfki nfvl hdpturl&

    < ]enl d mdrrd ad odklnd al hdpturd pdrd lxfmfr es prfblfres pdhetls hdpturdaes Srehurlplnd nfkgd hektlkae „ILQ % GQQS%4 4‒ 'nfkgd 1&. hnfqul heb e metèe lsqulrae l slnlhfeklJennew QHS Xtrldb

    : \bd odklnd slrä lxfmfad hektlkae d rlqufsféèe ILQ fkfhfdn l d rlspestd jerklhfad plneslrvfaer wlm Emslrvl es afvlrses hdmlédnges prlslktls l qul e herpe ad rlspestdhektæb ub aehublkte GQBN

    9 Sdrd kdnfzdr. hnfqul lbJlhgdr l alpefs lb Hnldr

    Bæteaes

    Klstd dtfvfadal slrèe lxpnerdaes afvlrses eutres bæteaes GQQS. qul kèe ILQ l SEXQ. lfnustrdads dniubds vunklrdmfnfadals qul pealb alherrlr al ub slrvfaer bdn hek iurdae?

    4 Fkfhfl ub tlrbfkdn. hnfhdkae ke âhekl prlslktl kd ärld al trdmdnge

    = Sdrd vlrf hdr es bæteaes supertdaes plne slrvfaer wlm. afiftl?

    tlnklt lxlbpne lsr rkp mr 73ESQFEKX % GQQS%4 3Gest? lxlbpne lsr rkp mr

    8 Srlssfekl Lktlr auds vlzls l dkdnfsl d rlspestd adad plne slrvfaer Emslrvl qul e YlmADZlstä gdmfnftdae. mlb hebe bæteaes plrfieses hebe ALNLQL. HESV l BEZL

    E YlmADZ hebprllkal ub hekoukte al hebdkaes qul pealb slr utfnfzdaes pdrdilrlkhfdr drqufves lb ub slrvfaer wlm al bdklfrd hendmerdtfvd Tudkae afspekf"mfnfzdae pdrd e pÿmnfhe lxtlrke. peal jdhfnftdr e hebprebltfblkte ae slrvfaer. deplrbftfr dhlsse de sfstlbd al drqufves

    1 \sl e utfnftärfe hdadvlr pdrd dhlssdr ds jukhfekdnfadals ADZ ae slrvfaer?

    hdadvlr gttp?%%lxlbpne lsr rkp mr

    < Sdrd nfstdr es hebdkaes afspekâvlfs. afiftl?

    glnp: Nfstl es drqufves afspekâvlfs ke sfstlbd al drqufves?

    ns

    9 Jdéd e upneda ae drqufve „drq334 txt‒ l nfstl e afrltørfe kevdblktl?

    put drq334 txtns

  • 8/15/2019 Teste de Invasão de Aplicações Web

    53/512

    84

    H d p â t u n e 4 "

    ] e t l f r e a l D t f v f a d a l s

    7 E drqufve hepfdae peal slr rlbevfae per blfe ae hebdkae alnltl ae ADZ. bds. hebelxlrhâhfe. rlbevd"e per blfe al ubd rlqufsféèe GQQS. lb ubd kevd odklnd al tlrbfkdn?

    tlnklt lxlbpne lsr rkp mr 73ALNLQL %drq334 txt GQQS%4 3Gest? lxlbpne lsr rkp mr

    6 Srlssfekl Lktlr auds vlzls l vlod e rlsuntdae ke hdadvlr. nfstdkae es drqufves prlslktlske afrltørfe

    43 E bæteae GLDA æ lqufvdnlktl de ILQ. heb d afjlrlkéd al qul e herpe ad rlspestd kèe æjerklhfae Zlodbes?

    tlnklt lxlbpne lsr rkp mr 73GLDA % GQQS%4 4Gest? lxlbpne lsr rkp mr

    44 Srlssfekl Lktlr auds vlzls l emslrvl d dusïkhfd ae herpe ad blksdilb

    Høafies al lstdae

    Kds dtfvfadals dktlrferls. e slrvfaer rlterkeu slbprl e høafie al lstdae =WW. fkafhdkaequl d rlqufsféèe jef dtlkafad heb suhlsse Kd prlslktl tdrljd. slrèe dprlslktdads sftud"éüls lb qul eutres høafies sèe jerklhfaes plne slrvfaer

    4 Lb ubd odklnd al tlrbfkdn. afiftl es hebdkaes dmdfxe. kdnfzdkae heb Lktlr auds vlzls?

    tlnklt w8s lsr rkp mr 73ILQ % GQQS%4 4Gest? w8s lsr rkp mr

    D rlspestd heb høafie 83= fkafhd de kdvlidaer qul e rlhurse jef lkhektrdae. bds qul ub

    rlafrlhfekdblkte æ klhlssärfe pdrd dhlssdr e rlhurse

    = Lb ubd odklnd al tlrbfkdn. afiftl es hebdkaes dmdfxe. kdnfzdkae heb Lktlr auds vlzls?

    tlnklt lxlbpne lsr rkp mr 73ILQ %fklxfstlktl GQQS%4 4Gest? lxlbpne lsr rkp mr

    D rlspestd heb høafie 131 fkafhd de kdvlidaer qul e rlhurse kèe jef lkhektrdae ke slrvfaer

    8 Lb ubd odklnd al tlrbfkdn. afiftl es hebdkaes dmdfxe?

    tlnklt lxlbpne lsr rkp mr 73

    MNDHebe kèe lxfstl ub bæteae MND. e slrvfaer rlterkd ubd rlspestd heb høafie al lstdae

  • 8/15/2019 Teste de Invasão de Aplicações Web

    54/512

    8=

    Q l s t l a l F k v d s è e a l D p n f h d é ü l s Y l m

    4 Fkfhfl kevd hdpturd ke Yfrlsgdr`. ad blsbd bdklfrd qul kd dtfvfadal al ]lqufsféèel ]lspestd

    = Hdse d blksdilb Xdvl hdpturl nl mljerl stdrtfki d klw hdpturl5 dpdrléd. hnfqul lbHektfkul wftgeut sdvfki

    8 Fkfhfl e kdvlidaer l dhlssl lxlbpne lsr rkp mr%mdsfh

    1 Jerkléd pdrd usuärfe l slkgd e tlx te „lsruslr‒< Sdrl d hdpturd al pdhetls ke Yfrlsgdr`. hnfhdkae ke qudrte metèe ad mdrrd al jlrrd"

    blktds ' Xtep tgl rukkfki nfvl hdpturl&

    : ]enl d mdrrd ad odklnd al hdpturd pdrd lxfmfr es prfblfres pdhetls hdpturdaes Srehurlplnd prfblfrd nfkgd hektlkae ILQ %mdsfh GQQS%4 4 'nfkgd 1&. hnfqul heb e metèe lsqulrael slnlhfekl Jennew QHS Xtrldb

    9 Emslrvl qul e slrvfaer rlterkeu ubd rlspestd heb høafie 134. e qul jlz heb qul e kdvl"idaer lxfmfssl d hdfxd al afäneie senfhftdkae usuärfe l slkgd Hnfqul lbJfntlr eut tgfs strldb

    7 Srehurl plnd kevd rlqufsféèe hektlkae ILQ l rlpftd e prehlsse ae Sdsse :

    6 Zlod qul e kdvlidaer dafhfekeu e hdmlédnge Dutgerfzdtfek? Mdsfh _WKyaWKnhopnh8O4h=Zyã rlqufsféèe D ÿntfbd pdrtl herrlspekal de usuärfe l slkgd lb MDXL:1. qul peal slralheaf hdad heb e hebdkae?

    lhge „_WKyaWKnhopnh8O4h=Zy‒ | mdsl:1 "a0 lhge "l „^k‒

    43 Sdrd kdnfzdr. hnfqul lbJlhgdr l alpefs lb Hnldr

    Dutlktfhdéèe Afilst

    D dutlktfhdéèe Afilst ae pretehene GQQS. dssfb hebe e beae Mdsfh. peal slr hek iurdadpdrd rlstrfkifr dhlsse d ärlds slksâvlfs ae slrvfaer wlm l pessuf ds alsvdktdilks al kèe

    slr pessâvln trdvdr hektds. klb al lkhlrrdr slssüls ehfesds D irdkal afjlrlkéd æ qul