Segurança de Aplicações Web: as 9 etapas-chave para passar de zero a operacional
Web Application Security : o essencial em um artigo — código real, diagramas e etapas concretas, extratos de um curso de 45 lições.
Tudo o mundo pode aprender Web Application Security — desde que siga as etapas na ordem correta. Condensamos um curso completo de 45 lições em um percurso claro, com os trechos de código mais úteis.
- Introdução e Lab
- OWASP Top 10 e Metodologia
- Injeções SQL NoSQL e Comando
- XSS Cross-Site Scripting
- CSRF SSRF e Requisição do Lado do Servidor
Injeção SQL clássica (UNION, error-based)
Objetivos pedagógicos
- Explicar por que uma SQLi é possível
- Detectar uma injeção com uma simples aspa
- Explorar uma UNION-based para ler outras tabelas
- Utilizar as mensagens de erro (error-based)
- Compreender a correção definitiva: consultas parametrizadas
Por que uma injeção SQL existe?
Uma SQLi ocorre quando uma entrada do usuário é concatenada diretamente em uma consulta SQL. O motor não distingue mais o código (a consulta) dos dados (a entrada). O atacante injeta então SQL que será executado.
| Payload | Comportamento esperado se vulnerável |
|---|---|
' | Erro SQL / 500 |
' OR '1'='1 | Bypass de autenticação |
1' AND '1'='2 | Resultado vazio (condição falsa) |
1' AND '1'='1 | Resultado normal (condição verdadeira) |
UNION-based: ler outras tabelas
O operador UNION SELECT permite colar os resultados de uma segunda consulta à primeira. Condições: mesmo número de colunas e tipos compatíveis. Começamos encontrando o número de colunas com ORDER BY.
OK Protegido
JWT: alg=none, fraquezas criptográficas, injeção kid
alg=none, segredo fraco HS256, confusão RS256/HS256, injeção via o header kid) e aplicar as boas práticas de validação.Objetivos pedagógicos
- Decodificar e compreender a estrutura de um JWT
- Explorar a falha
alg=none - Quebrar um segredo HS256 fraco
- Compreender a confusão de algoritmo RS256/HS256
- Explorar uma injeção via o header
kid
Estrutura de um JWT
Um JWT é composto de três partes codificadas em base64url, separadas por pontos: header, payload, signature. O header indica o algoritmo, o payload contém os claims (dados), a signature garante a integridade.
| Algoritmo | Assinatura | Verificação |
|---|---|---|
| HS256 | Segredo compartilhado | Mesmo segredo |
| RS256 | Chave privada | Chave pública |
| Confusão | Chave pública em HS256 | O servidor valida incorretamente |
Falha 4: injeção via kid
O header kid (key ID) indica qual chave usar. Se for utilizado sem sanitização para ler um arquivo ou consultar um banco, podemos injetar um caminho (path traversal) ou SQL.
Burp Suite Community: primeira utilização
Objetivos pedagógicos
- Configurar o navegador para passar pelo proxy Burp
- Instalar o certificado CA para interceptar o HTTPS
- Interceptar, modificar e transmitir uma requisição
- Reproduzir uma requisição no Repeater
- Navegar no sitemap (aba Target)
O que é o Burp Suite?
Burp Suite é um proxy de interceptação que se posiciona entre seu navegador e o servidor web. Todo o tráfego passa por ele: você pode vê-lo, modificá-lo em tempo real e reproduzi-lo. É a ferramenta central de todo pentester web. A edição Community é gratuita e suficiente para aprender.
Repeater
Reproduz uma requisição quantas vezes quiser, modificando-a.
Target
Constrói o mapeamento (sitemap) da aplicação visitada.
Configurar o proxy
Por padrão, o Burp escuta em 127.0.0.1:8080. É preciso configurar o navegador para enviar seu tráfego para lá. O método mais simples é o navegador integrado do Burp (« Open Browser »), pré-configurado. Caso contrário, configure um proxy manual ou use a extensão FoxyProxy.
Proxy manual (Firefox)
Primeiro fluxo de trabalho: interceptar e reproduzir
Aqui está o gesto básico que você repetirá milhares de vezes.
| Etapa | Ação |
|---|---|
| 1 | Aba Proxy → Intercept « on » |
| 2 | Navegar até o alvo (ex: login DVWA) |
| 3 | A requisição é capturada — leia-a, modifique-a |
| 4 | Clique direito → « Send to Repeater » |
| 5 | No Repeater, altere um parâmetro, clique « Send » |
Exemplo: modificar um parâmetro no Repeater
Este artigo cobre os trechos mais úteis — o curso completo Web Application Security (11 capítulos, 45 lições, exercícios corrigidos e projeto final) leva você até o fim.
./acceder-au-cours-complet curso gratuito: Dominando o Claude CodeFAQ
Quanto tempo para aprender Web Application Security?
É preciso ter pré-requisitos?
Por onde começar concretamente?
📬 Quer receber este tipo de guia toda semana? Inscreva-se gratuitamente — código real, zero enrolação.