3. Cross-Site Scripting (XSS)

Execução de scripts no navegador de vítimas:

XSS executa scripts maliciosos no navegador, roubando dados ou controlando sessões.

3.1 Tipos

• Refletido: payloads em parâmetros de URL;
• Armazenado: código salvo no servidor (ex.: comentários);
• DOM: manipulação do DOM sem comunicação com servidor.

3.2 Exemplo de Payload

3.3 Prevenção

• Valide e sanitize toda entrada (ex.: OWASP ESAPI, `` no JSP).
• Codifique saída conforme contexto (HTML, JS, URL).
• Use CSP (Content Security Policy) para bloquear scripts não autorizados.

# Configurar CSP no Apache
Header set Content-Security-Policy "default-src 'self'; script-src 'self'"
  

Ferramentas

• XSStrike: xsstrike -u "http://alvo.com". github.com/XSStrike
• BeEF: beefproject.com

  [*] Testing URL: http://alvo.com/search?q=test
  [+] Vuln found in parameter: q
  [✓] Payload: <svg/onload=alert(1)>
  [→] Bypassed filters: script,alert

  [*] Browser Hooked: 192.168.1.100
  [+] Browser: Chrome 114 (Windows 10)
  [+] Plugins: PDF Viewer, Flash
  [✓] Vulnerável: Redirecionamento via DOM

4. Ferramentas para Testes Web

• VEGA (apt install vega) – scanner gráfico para XSS, SQLi, etc.
• OWASP ZAP (zaproxy) – proxy interceptador + scanner automatizado. zap-cli quick-scan http://alvo.com. zaproxy.org
• Metasploit WP Scanner – módulo `auxiliary/scanner/http/wp_login` para WordPress.msfconsole -q -x "use auxiliary/scanner/http/wp_login"
• Nikto: nikto -h http://alvo.com. cirt.net
• Arachni: arachni --url http://alvo.com. arachni-scanner.com

5. Validação / Sanitização & OSINT

• Validação Rigorosa: usar whitelist, rejeitar tudo o que não casar. Whitelist com preg_match('/^[a-zA-Z0-9]+$/', $input).
• Sanitização de Saída: `htmlspecialchars()`, `encodeURIComponent()`. htmlspecialchars($input, ENT_QUOTES, 'UTF-8').
• Footprinting Web:
  • shodan search "nginx", censys search web.tls.certificate.parsed.extensions.subject_key_id
  • Extensão Wappalyzer para identificar tecnologias do alvo.
• OSINT:
  • theharvester -d alvo.com -b google
  • shodan search "nginx"

Ferramentas

• OSINT Framework: osintframework.com
• Maltego: maltego.com

6. Hardening de Servidor Web

• Desabilitar listagem de diretórios:

  
  # Apache
  a2dismod autoindex
  # Nginx
  server_tokens off;
        

• Ocultar banner: O que são: Mensagens que servidores enviam contendo informações como:
  • Nome e versão do software (Apache, Nginx, IIS)
  • Sistema operacional
  • Módulos habilitados
• Problema: Facilitam ataques ao revelar versões vulneráveis
• Ocultar banner:

  
  # Apache
  ServerSignature Off
  ServerTokens Prod
  
  # Nginx
  server_tokens off;
        

• Verificação: Use curl -I http://exemplo.com ou scanners como Netcat
• Instalar mod_security ou OWASP CRS para filtragem de requisições. apt install libapache2-mod-security2.
• Manter SO e pacotes web atualizados:

  sudo apt update && sudo apt upgrade

Ferramentas

• Lynis: lynis audit system. cisofy.com
• Fail2ban: fail2ban-client set apache banip. fail2ban.org

7. Construindo Software Seguro (DevSecOps)

• CI/CD Seguro (Continuous Integration (Integração Contínua) e Continuous Delivery/Deployment (Entrega Contínua ou Implantação Contínua)): integrar scanners (Bandit, npm audit, Trivy) no pipeline.
• SDL: incluir design reviews, threat modeling, pen tests regulares.
• CLASP: Comunicação, Limitação, Abstração, Simplificação, Proteção, Herança dos dados.

# GitLab CI/CD seguro (.gitlab-ci.yml)
stages:
  - security-scan
  - build
  
sonarqube-check:
  stage: security-scan
  script:
    - docker run --rm -v $(pwd):/src owasp/zap2docker zap-baseline.py -t $URL

deploy-prod:
  stage: build
  only:
    - main
  rules:
    - if: $CI_COMMIT_TAG =~ /^v\d+\.\d+\.\d+$/
  

8. Cultura Digital e Segurança Web

Como futuros educadores, conecte com:

• Projetos de conscientização (phishing simulations).
• Ensino de hábitos seguros: HTTPS, verificação de URLs, privacidade online. Verificar HTTPS com curl -I https://alvo.com.
• Material “Seja incrível na internet” / Interland para crianças.

Ferramentas

• PhishMe: Simulações de phishing. cofense.com
• Interland: beinternetawesome.withgoogle.com

9. Técnicas Avançadas e Ferramentas Complementares

9.1 SQL Injection Avançado

• Fuzzing de parâmetros com wfuzz:

  
  wfuzz -c -z file,/usr/share/wordlists/dirb/common.txt \
    --hc 404 http://alvo.com/vuln.php?FUZZ=1
        

• sqlmap com proxy e tamper scripts:

  
  sqlmap -u "http://alvo.com/vuln.php?id=1" \
    --proxy="http://127.0.0.1:8080" \
    --tamper=space2comment,between
        

• Código PHP Seguro (Prepared Statement):

  
  $stmt = $pdo->prepare('SELECT * FROM users WHERE id = ?');
  $stmt->execute([$_GET['id']]);
  $user = $stmt->fetch();
        

• Teste manual com curl:

  
  curl -v "http://alvo.com/vuln.php?id=1'"
  # Observe erros de sintaxe SQL na resposta HTTP
        

9.2 XSS Avançado

• Fuzzing de payloads com XSStrike:

  
  xsstrike -u "http://alvo.com/search?q=term" --crawl
        

• Uso de textContent em vez de innerHTML:

  
  element.textContent = userInput;
        

• Exemplo de Content Security Policy (CSP):

  
  Content-Security-Policy:
    default-src 'self';
    script-src 'self' https://apis.google.com;
    object-src 'none';
        

9.3 Scanners Complementares

• Nikto:

  nikto -h http://alvo.com -Tuning 9

• Dirsearch:

  
  go run github.com/projectdiscovery/dirsearch \
    -u http://alvo.com -e php,html -w /usr/share/wordlists/common.txt
        

• Arachni:

  arachni http://alvo.com --report-save-path=relatorio.afr

9.4 Hardening de Servidor Web

• Verificar cabeçalhos de segurança:

  curl -I http://alvo.com | grep -E "X-Frame-Options|X-Content-Type-Options|Referrer-Policy"

• Adicionar headers no Nginx:

  
  add_header X-Frame-Options "DENY";
  add_header X-Content-Type-Options "nosniff";
  add_header Referrer-Policy "strict-origin";
        

• Testar SSL/TLS com sslscan:

  sslscan alvo.com

$ sslscan github.com
SSLScan v2.0.15
Testing SSL server github.com on port 443

  Supported Server Cipher(s):
    Accepted  TLSv1.2  256 bits  AES256-GCM-SHA384
    Accepted  TLSv1.2  128 bits  AES128-GCM-SHA256
    Rejected  TLSv1.2  112 bits  DES-CBC3-SHA (weak)
  
  SSL Certificate:
    Signature Algorithm: sha256WithRSAEncryption
    Issuer: DigiCert Inc
    Not valid after:  2024-03-15 23:59:59

9.5 DevSecOps e CI/CD Seguro

• GitHub Action - sqlmap:

  
  - name: Run sqlmap
    run: |
      sqlmap -u ${{ secrets.TARGET_URL }} --batch --crawl=1
        

• OWASP Dependency-Check:

  
  - name: Dependency Check
    uses: owasp/dependency-check-action@v2
    with:
      project: app
      scanPath: ./src