Principais tipos de ataques a aplicações web \| TreinaWeb Promoção no ar Matricule-se agora e garanta **54% de desconto** Termina em Tempo restante da oferta: 01 Horas 26 Min 06 Seg Tempo restante da oferta: 01 26 06 [Assinar →](https://www.treinaweb.com.br/checkout/pagamento/plano/anual?cupom=TW-SCLIENTE26) [ ](https://www.treinaweb.com.br) Explorar [ Quanto custa? ](#assinatura) [ FAQ ](https://www.treinaweb.com.br#faq) [Matricule-se](#assinatura) [ Entrar ](https://www.treinaweb.com.br/login) [ Início ](https://www.treinaweb.com.br) [ Artigos ](https://www.treinaweb.com.br/blog) Principais tipos de ataques a aplicações web [ Tecnologia ](https://www.treinaweb.com.br/blog/categoria/tecnologia) # Principais tipos de ataques a aplicações web Neste artigo veremos os três tipos de ataques mais comuns a aplicações web. [ Ana Paula de Andrade ](https://www.treinaweb.com.br/blog/autor/ana-paula-andrade) 7 anos atrás ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2019/07/15153304/ATAQUES-APLICAÇÕES-WEB.png) As aplicações web são, sem dúvidas, os principais alvos de ataques de agentes maliciosos e isso está diretamente ligado ao seu alcance rápido e a dificuldade de exposição do criminoso responsável pelo ato. [ ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2023/10/E-BOOK-GRATUITO-COMECANDO-JS.png) ](https://www.treinaweb.com.br/ebook/guia-javascript) Devido a algumas tecnologias adotadas em algumas páginas web, diversas vulnerabilidades podem ser exploradas, e os problemas causados são diversos: - Exposição e roubo de dados cadastrais de usuários; - Interrupção no serviço; - Perdas financeiras, entre outros. Neste artigo veremos os três tipos de ataques mais comuns a aplicações web. [ ![Django - Módulo administrativo Django Admin](https://d2knvm16wkt3ia.cloudfront.net/assets/svg-icon/django.svg) Curso Django - Módulo administrativo Django Admin Conhecer o curso ](https://www.treinaweb.com.br/curso/django-modulo-administrativo-django-admin) ## SQL Injection *SQL Injection* (ataque de injeção de SQL) é uma técnica onde, através da entrada de dados de uma página web, usuários maliciosos podem injetar comandos SQL no banco de dados de uma aplicação. Este tipo de ataque consiste em inserir códigos diretamente nos campos de entrada dos dados que vão ser concatenados com o SQL e, após isso, executados. Imagine o seguinte exemplo: 1. Um sistema bancário permite a edição de informações pessoais de um cliente. Estas informações são armazenadas na mesma tabela que contém o saldo deste cliente; 2. O usuário, ao tentar editar seu nome, maliciosamente adiciona um comando SQL para alterar o campo saldo da sua conta, algo como: `'Joao Silva' AND saldo=150000` 3. Após submeter o formulário de edição, a aplicação bancária (sem validação da entrada de dados do formulário) executa o seguinte código no banco de dados: `UPDATE cliente SET nome=nome_formulario WHERE cliente.id = 5` Porém, o conteúdo da variável `nome_formulario`, além do nome do cliente alterado, possui um código SQL, fazendo com que o UPDATE do banco de dados seja executado da seguinte forma: `UPDATE cliente SET nome='Joao Silva' AND saldo=150000 WHERE cliente.id = 5` Com isso, além do nome, o cliente conseguiu, também, alterar seu saldo bancário, o que pode ser um grande prejuízo para um banco. Você pode saber mais sobre banco de dados em nosso artigo sobre os [principais SGBDs relacionais](https://www.treinaweb.com.br/blog/os-principais-sgbds-relacionais/ "principais SGBDs relacionais"). [ ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2023/10/E-BOOK-GRATUITO-SEGURANCA.jpg) ](https://www.treinaweb.com.br/ebook/guia-de-seguranca/) ## CSRF *Cross-site request forgery*, ou simplesmente falsificação de solicitações entre sites, é um tipo de ataque no qual comandos não autorizados são transmitidos a partir de um usuário que possui acesso a aplicação. Neste ataque, uma aplicação envia solicitações para um site se passando por um usuário logado esperando que a aplicação execute sua requisição. Imagine a seguinte situação: 1. Você loga no site do seu banco utilizando o navegador instalado em seu computador. Neste momento, o banco irá autenticar suas credenciais e retornar para o navegador um cookie para que o usuário permaneça logado na aplicação; 2. Neste momento, você abre um link de uma página determinada a explorar este tipo de ataque. Nela, há um formulário exatamente igual ao do banco para realizar uma transação, porém, sem qualquer relação com o banco; 3. Imaginando que trata-se da aplicação bancária, você realiza a transação normalmente. A aplicação maliciosa, então, submete o formulário e, de quebra, captura o cookie com a sessão do usuário (o que o mantém logado no banco). 4. De posse do cookie, a aplicação maliciosa, agora, poderá realizar qualquer iteração com o seu banco, que achará que foi o usuário logado que a fez. Daí que o nome “*Cross-site request forgery*” é utilizado, já que uma aplicação conseguiu forjar a requisição de um site (malicioso) para outro (banco) se passando pelo usuário logado. Este é um dos principais ataques em aplicações web e você pode ver os meios de mitigá-lo no artigo [Cross-Site Request Forgery (CSRF) e abordagens para mitigá-lo.](https://www.treinaweb.com.br/blog/cross-site-request-forgery-csrf-e-abordagens-para-mitiga-lo/ "Cross-Site Request Forgery (CSRF) e abordagens para mitigá-lo.") ## XSS *Cross-site scripting* é um tipo de ataque de injeção de código malicioso em aplicações web. Este tipo de ataque geralmente acontece em função da falha na validação nos dados de entrada de um usuário, permitindo que um script malicioso seja executado no navegador do cliente, permitindo que o atacante consiga copiar cookies, tokens ou até roubar dados de acesso registrados no navegador web do usuário. Imagine o seguinte exemplo: 1. Através do formulário de um site, um atacante envia um código JavaScript que armazenará o conteúdo do cookie dos usuários e enviará para um determinado servidor; 2. Sem qualquer validação na entrada dos dados, o servidor armazena as informações que foram submetidas pelo servidor e as exibe para o usuário (imagine um comentário em um blog, onde este script foi enviado e está sendo exibido para todos os usuários do site); 3. Agora, qualquer usuário que acessar a página que aquele script esteja sendo exibido, poderá ter seus cookies roubados e enviados para um servidor do atacante. Tudo isso porque a aplicação não fez uma simples validação na entrada dos dados nem na saída (exibição das informações). ## Concluindo Neste artigo vimos os três tipos de ataques mais comuns a aplicações web. Desta forma, é importante que as aplicações se preocupem com sua segurança para que estes ataques sejam evitados. [ ![Desenvolvedor PHP](https://d2knvm16wkt3ia.cloudfront.net/assets/svg-icon/php.svg) Formação Desenvolvedor PHP Conhecer a formação ](https://www.treinaweb.com.br/formacao/desenvolvedor-php) - [ #sql injection ](https://www.treinaweb.com.br/blog/tag/sql-injection) - [ #CSRF ](https://www.treinaweb.com.br/blog/tag/csrf) - [ #XSS ](https://www.treinaweb.com.br/blog/tag/xss) Autor ![Ana Paula de Andrade](//secure.gravatar.com/avatar/76297b487187c82ae476e823018dbfc0?d=mm) ## Ana Paula de Andrade Graduanda em Sistemas de Informação pelo Instituto Federal da Bahia. É responsável pelo atendimento ao cliente, gerenciamento de redes sociais e revisão de cursos, além da redação de artigos para o blog da TreinaWeb. [Todos os artigos](https://www.treinaweb.com.br/blog/autor/ana-paula-andrade) ## Continue estudando Transforme leitura em prática com os cursos e formações da TreinaWeb. [Ver cursos](https://www.treinaweb.com.br/cursos) Continue lendo ## Artigos relacionados - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2019/07/30152657/SQL-ALCHEMY-400x280.png) [ Python ](https://www.treinaweb.com.br/blog/categoria/python) 7 anos atrás ## [ O que é o SQLAlchemy? ](https://www.treinaweb.com.br/blog/o-que-e-o-sqlalchemy) Neste artigo veremos o que é e como funciona o SQLAlchemy. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2023/09/guia-termos-comuns-seguranca-400x280.png) [ Guias ](https://www.treinaweb.com.br/blog/categoria/guias) 3 anos atrás ## [ Guia de termos comuns de segurança ](https://www.treinaweb.com.br/blog/guia-de-termos-comuns-de-seguranca) Neste guia de segurança veremos alguns dos principais ataques que podem acontecer na web. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2021/04/o-que-e-o-spring-security-400x280.png) [ Java ](https://www.treinaweb.com.br/blog/categoria/java) 6 anos atrás ## [ O que é o Spring Security? ](https://www.treinaweb.com.br/blog/o-que-e-o-spring-security) Neste artigo veremos o que é o Spring Security, quais suas funcionalidades e como ele pode aumentar a segurança de nossas aplicações Java. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/09/o-que-e-cdn-content-delivery-network-400x280.png) [ Computação em nuvem ](https://www.treinaweb.com.br/blog/categoria/computacao-em-nuvem) 6 anos atrás ## [ O que é CDN (Content Delivery Network)? ](https://www.treinaweb.com.br/blog/o-que-e-cdn-content-delivery-network) Vamos conhecer nesse artigo o que é um CDN, como ele funciona, quais suas vantagens e os principais serviços do mercado que entregam soluções de CDN para você usar nas suas aplicações. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2018/06/28145950/security-csrf-400x280.jpg) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 9 anos atrás ## [ Cross-Site Request Forgery (CSRF) e abordagens para mitigá-lo ](https://www.treinaweb.com.br/blog/cross-site-request-forgery-csrf-e-abordagens-para-mitiga-lo) Entenda o que é Cross-Site Request Forgery (CSRF) e conheça abordagens para mitigá-lo, incluindo a mais moderna delas, que é o atributo SameSite para cookies. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2021/05/a6GH8712a1-400x280.jpg) [ PHP ](https://www.treinaweb.com.br/blog/categoria/php) 10 anos atrás ## [ O PHP e o seu ecossistema nunca estiveram tão fortes ](https://www.treinaweb.com.br/blog/o-php-e-o-seu-ecossistema-nunca-estiveram-tao-fortes) O PHP nunca esteve tão forte. Nesse artigo, algumas desconstruções de famosas falácias acerca do PHP e alguns pontos que o fazem ser uma completa plataforma para a Web. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/06/HTTPS-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 7 anos atrás ## [ Termos comuns de segurança: HTTPS ](https://www.treinaweb.com.br/blog/termos-comuns-de-seguranca-https) Com certeza, ao navegar na internet, você já viu no começo da URL o protocolo HTTPS. Mas, você sabe para que serve e como funciona esse protocolo? Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/05/ZERO-DAY-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 7 anos atrás ## [ Termos comuns de segurança: Zero-day ](https://www.treinaweb.com.br/blog/termos-comuns-de-seguranca-zero-day) Confira neste artigo o que é uma falha zero-day e como essas brechas são exploradas. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/07/capa-engenharia-social-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 6 anos atrás ## [ O que é Engenharia Social? ](https://www.treinaweb.com.br/blog/o-que-e-engenharia-social) Nos últimos anos os tipos de ataque não só aumentaram como estão mais sofisticados. É importante conhecê-los para que possamos nos prevenir de uma forma mais assertiva. Vamos conferir neste artigo o que é a engenharia social e como os hackers a utilizam para fazer suas vítimas. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2017/07/sql-vs-nosql-qual-usar-400x280.jpg) [ NoSQL ](https://www.treinaweb.com.br/blog/categoria/nosql) 10 anos atrás ## [ SQL vs NoSQL, qual usar? ](https://www.treinaweb.com.br/blog/sql-vs-nosql-qual-usar) Conheça mais sobre os tipos de banco SQL e NoSQL e quando utilizá-los. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2020/05/capa-DDoS-400x280.png) [ Segurança da Informação ](https://www.treinaweb.com.br/blog/categoria/seguranca-da-informacao) 7 anos atrás ## [ Termos comuns de segurança: DDoS ](https://www.treinaweb.com.br/blog/termos-comuns-de-seguranca-ddos) Continuando com nossa série de artigos sobre os termos comuns de segurança, vamos abordar hoje o DDoS – sigla para Distributed Denial of Service. Ler artigo - ![](https://dkrn4sk0rn31v.cloudfront.net/uploads/2018/11/05145555/3335-400x280.png) [ Desenvolvimento de Jogos ](https://www.treinaweb.com.br/blog/categoria/desenvolvimento-de-jogos) 8 anos atrás ## [ Principais tipos de jogos hiper casuais ](https://www.treinaweb.com.br/blog/principais-tipos-de-jogos-hiper-casuais) Conheça alguns dos principais tipos de jogos hiper casuais. Ler artigo ## Um ano de acesso total para você viver de programação. Todos os cursos e formações da TreinaWeb numa única assinatura, com professores que atuam no mercado, suporte direto e certificados. Do primeiro `console.log` ao mercado de trabalho. - **1 ano** de acesso a **todos os cursos** - Cursos novos **toda semana** - Suporte **direto com professores** - Plano de carreira **personalizado** - **Certificados digitais** inclusos - **Aplicativos** para Android e iOS, com **acesso offline** **Garantia incondicional de satisfação** Teste por 7 dias e, se não fizer sentido para você, devolvemos seu dinheiro. ### Acesso completo a todos os cursos e dezenas de Formações. 12 meses Economize R$ 840,00 54% OFF de 12x R$ 129,00 por apenas 12x R$ 59,00 sem juros no cartão de crédito ou R$ 599,00 à vista Oferta termina em **01h 26min 06s** - Acesso imediato e ilimitado durante 1 ano. - Plano de carreira personalizado. - Suporte direto com professores. - E muito mais! [Matricule-se agora](https://www.treinaweb.com.br/checkout/pagamento/plano/anual?cupom=TW-SCLIENTE26) [ ](https://www.treinaweb.com.br) Escola online de programação, tecnologia e IA. - [ ](https://www.facebook.com/TreinaWeb/) - [ ](https://www.instagram.com/treinaweb/) - [ ](https://www.youtube.com/user/TreinaWeb) - [ ](https://twitter.com/treinaweb) - [ ](https://www.linkedin.com/company/treinaweb) - [ ](https://github.com/treinaweb) ## Inscreva-se em nossa newsletter Receba lançamentos, promoções e novidades. Seu nome Seu WhatsApp Seu melhor e-mail Inscrever-se ## Cursos - [ Base para Devs ](https://www.treinaweb.com.br/categoria/base-para-devs) - [ Front-end ](https://www.treinaweb.com.br/categoria/desenvolvimento-front-end) - [ Back-end ](https://www.treinaweb.com.br/categoria/desenvolvimento-back-end) - [ Mobile ](https://www.treinaweb.com.br/categoria/desenvolvimento-mobile) - [ Bancos de Dados ](https://www.treinaweb.com.br/categoria/bancos-de-dados) - [ Cloud ](https://www.treinaweb.com.br/categoria/cloud-computing) - [ IA ](https://www.treinaweb.com.br/categoria/ia) - [ E mais ](https://www.treinaweb.com.br/categoria/e-mais) - [ Ver todos os cursos ](https://www.treinaweb.com.br/cursos) ## Conteúdo - [ Formações ](https://www.treinaweb.com.br/formacoes) - [ Projetos práticos ](https://www.treinaweb.com.br/projetos-praticos) - [ Direto ao ponto ](https://www.treinaweb.com.br/direto-ao-ponto) - [ Planos ](https://www.treinaweb.com.br#assinatura) - [ Depoimentos ](https://www.treinaweb.com.br#depoimentos) - [ Comunidade ](https://www.treinaweb.com.br#comunidade) - [ Corpo docente ](https://www.treinaweb.com.br#docente) ## A empresa - [ Sobre a TreinaWeb ](https://www.treinaweb.com.br#sobre) - [ Perguntas frequentes ](https://www.treinaweb.com.br#faq) - [ Vantagens de estudar na TreinaWeb ](https://www.treinaweb.com.br/vantagens-de-estudar-na-treinaweb) - [ Cursos para empresas ](https://www.treinaweb.com.br/empresas) - [ Sugira um novo curso ](https://www.treinaweb.com.br/sugerir-curso) - [ Trabalhe conosco ](https://www.treinaweb.com.br/trabalhe-conosco) - [ Artigos ](https://www.treinaweb.com.br/blog) - [ Desenvolvedores e agentes ](https://www.treinaweb.com.br/developers) - [ Contato ](https://www.treinaweb.com.br/contato) - [ Política de privacidade ](https://www.treinaweb.com.br/politica-de-privacidade) - [ Termos de uso ](https://www.treinaweb.com.br/termos-de-uso) ## Baixe nosso aplicativo [ Disponível na **App Store** ](https://apps.apple.com/us/app/treinaweb/id1322729447) [ Disponível no **Google Play** ](https://play.google.com/store/apps/details?id=br.com.treinaweb.mobile) Av. Paulista, 1765, Conj 71 e 72 · Bela Vista · São Paulo · SP · 01311-200 © 2004 – 2026 TreinaWeb Tecnologia LTDA · CNPJ 06.156.637/0001-58