Análise e Exploração Controlada de Vulnerabilidades em Aplicações Web: Estudo de Caso no OWASP Juice Shop
Resumo
Este trabalho apresenta uma análise e exploração controlada de vulnerabilidades em aplicações web, utilizando o OWASP Juice Shop como objeto de estudo. Com base nas diretrizes do OWASP Top 10 (2021), foram identificadas e exploradas falhas críticas nas categorias de Injeção de SQL, Controle de Acesso Quebrado, Cross-Site Scripting (XSS) e Configuração Incorreta de Segurança, por meio de teste de penetração black box em ambiente isolado com Docker e Kali Linux, empregando as ferramentas Burp Suite, sqlmap, Gobuster e cURL.
A motivação para este estudo parte do crescimento expressivo dos ataques a aplicações web e da recorrência de falhas elementares em sistemas em produção, conforme evidenciado pelo OWASP Top 10 (2021), que aponta o Broken Access Control como a categoria mais prevalente, presente em 94% das aplicações avaliadas. O OWASP Juice Shop, por ser uma aplicação intencionalmente vulnerável e amplamente utilizada para fins educacionais, constitui um ambiente representativo e eticamente adequado para a condução de testes ofensivos controlados.
Os testes foram estruturados em quatro fases: reconhecimento de superfícies de ataque, análise de tráfego HTTP, exploração ativa de vulnerabilidades e documentação dos achados. Na categoria de SQL Injection (A03:2021), a ausência de sanitização nos campos de entrada permitiu o contorno do mecanismo de autenticação por meio de payload clássico, além da extração completa da base de dados de usuários via sqlmap, com exposição de senhas em texto claro e hashes MD5. No Broken Access Control (A01:2021), a vulnerabilidade IDOR possibilitou acesso e modificação de dados de terceiros por manipulação de identificadores na URL, enquanto o painel administrativo mostrou-se acessível por navegação direta, sem controle de autorização no backend. O XSS persistente (A03:2021) foi identificado no campo de comentários, permitindo a injeção de scripts armazenados e executados no navegador de todos os usuários da página afetada. Por fim, a Security Misconfiguration (A05:2021) revelou listagem ativa de diretórios e endpoint de métricas exposto publicamente, facilitando o reconhecimento para ataques baseados em CVEs conhecidas.
Os resultados demonstram que vulnerabilidades amplamente documentadas permanecem exploráveis com ferramentas acessíveis, reforçando a necessidade de integração da segurança ao longo de todo o ciclo de desenvolvimento de software, conforme preconizado pelo modelo DevSecOps. Como medidas de mitigação, destacam-se o uso de consultas parametrizadas para SQL Injection, controles de autorização no servidor para Broken Access Control, sanitização de entradas e adoção de Content-Security-Policy para XSS, e restrição de endpoints sensíveis para falhas de configuração.
Discute-se ainda o potencial de técnicas de inteligência artificial na detecção e priorização automatizada de vulnerabilidades, tema de crescente relevância no contexto da segurança ofensiva e alinhado ao escopo do evento IA 360º. Conclui-se que a realização periódica de testes de penetração, combinada à adoção de práticas seguras desde as fases iniciais do desenvolvimento, é essencial para a construção de sistemas mais resilientes frente ao cenário atual de ameaças cibernéticas.
Palavras-chave: Segurança da Informação, OWASP Top 10, Teste de Penetração, Vulnerabilidades Web, OWASP Juice Shop, DevSecOps, Inteligência Artificial
Ler trabalho completo (PDF)