Questão comentada Policia Federal 2025 Cebraspe – Perito Criminal Federal – Área 3: Informática Forense

Enunciado

Certa aplicação web tem uma funcionalidade de busca de usuários por nome, realizada em PHP, conforme os parâmetros a seguir. $username = $_GET['username']; $query = "SELECT * FROM users WHERE username = '$username'"; $result = mysqli_query($connection, $query); A partir dessas informações, julgue os itens subsequentes, considerando o que é definido pelo OWASP Top 10 de 2021 no que diz respeito a falhas de aplicação. Na URL a seguir, o uso de -- indica o início de um comentário em SQL, de modo que o restante da consulta é ignorado. http://prova.com/busca?username=admin'--

Escolha uma alternativa para ver o gabarito.

Gabarito: A

Certo. O código monta a consulta concatenando diretamente o parâmetro username, o que caracteriza injeção de SQL (categoria Injection do OWASP Top 10 de 2021). Com o valor admin'--, o apóstrofo fecha a string e o -- inicia um comentário: tudo o que vem depois (aqui, o apóstrofo de fechamento que o código acrescenta) é ignorado pelo SGBD, e a consulta passa a buscar apenas o usuário admin.

Base legal: Fundamento: documentação Microsoft, SQL Injection; MySQL 8.0 Reference Manual, Comments Microsoft: "The double hyphen (--) indicates that the rest of the current line is a comment and should be ignored." Exemplo...

Explicação desenhada completa no app

O comentário de cada alternativa, os trechos da videoaula, o mapa mental do tema e o Marco para tirar dúvidas ficam no app. O cadastro é grátis.

Ver a explicação completa (grátis)

Próxima questão desta prova

Questão comentada Policia Federal 2025 Cebraspe – Perito Criminal Federal – Área 3: Informática Forense – Questão 82: Segurança de aplicações web

Questão comentada Policia Federal 2025 Cebraspe – Perito Criminal Federal – Área 3: Informática Forense – Questão 81: Segurança de aplicações web

Enunciado

Gabarito: A

Explicação desenhada completa no app

Próxima questão desta prova

Mais questões sobre o tema