Recomendações e

Vulnerabilidades
Sistemas - Parte 1
 Índice STATUS: LANÇADO ANDAMENTO CORRIGIDO

VULNERABILIDADE / RECOMENDAÇÃO STATUS

1 - Vulnerabilidade Grave - Acesso a informações no Catálogo LANÇADO

1 Vulnerabilidade Grave - Acesso a informações no Catálogo

Descrição do problema: Uma vez logado no ABNT Catálogo é possível acessar informações de
outros pedidos e usuários, incluindo os orçamentos em andamento. O impacto dessa vulnerabilidade
é alto para o negócio ABNT.

Passos para reproduzir o erro:

1- Acessar www.abntcatalogo.com.br

2- Clicar em meus pedidos

3 - Usar clovisrod@gmail.com / verpom88 (ou outro usuário/senha)

4- Clicar em Meus Pedidos

5- Clicar no pedido que aparece listado

6 - Na barra de endereços estará http://www.abntcatalogo.com.br/pedido.aspx?ID=636846

7- Alterando o ID será dado acesso aos pedidos que não são os meus

8- Usando 636844 por exemplo será exibido o pedido da Brasilata

Recomendação: Alterar o sistema de modo a impedir que o usuário acesse
informações alterando o ID na barra de endereços
2 Vulnerabilidade - Auto-Complete nas caixas de Usuário e Senha

Descrição do problema: Usuário e senha ficam “armazenados” nos forms de login dos aplicativos
permitindo que qualquer pessoa com acesso à maquina faça login. O ideal é que o usuário seja
obrigado a digitar usuário e senha a cada acesso.
Recomendação: desabilitar o auto-complete nas telas de login de todos os
sistemas. Existe alguma discussão na internet sobre como fazer isso.
Possibilidade 1: desabilitar o auto-complete nos inputs de usuário e senha

<input type="text" name="foo" autocomplete="off" />

Possibilidade 2: desabilitar o auto-complete no formulário

<form method="post" action="/form" autocomplete="off">

ATENÇÃO: É preciso verificar se esses métodos funcionam, se funcionam em todos os browsers e

se funcionam nos inputs tipo password.

Ver: https://developer.mozilla.org/pt-BR/docs/Web/Security/Securing_your_site/Turning_off_form_autocompletion
3 Vulnerabilidade - Login pelo Método da Força Bruta

Descrição do problema: Um dos métodos utilizados para a invasão de sistemas é a força bruta onde
o invasor tenta automaticamente milhões de combinações de senhas até conseguir a correta. Abaixo
está o resultado do scan feito com o Acunetix no www.abntcatalogo.com.br para a vulnerabilidade.
Ver: Blocking Brute Force Attacks - https://www.owasp.org/index.php/Blocking_Brute_Force_Attacks
Importante: A OWASP - The Open Web Application Security Project (www.owasp.org) é uma excelente
fonte de informação sobre segurança da informação

Recomendação: estabelecer algum tipo de bloqueio de usuário após um

determinado número de tentativas de acesso com senha errada. O Bloqueio pode
ser definitivo, com a necessidade de resetar a senha ou tempórario no qual o
usuário precisa esperar um determinado tempo para tentar novo acesso.

Obs: como existem vários sistemas internos e cada um tem a sua própria tela de
login, o trabalho teria que ser replicado várias vezes. Uma possibilidade seria
criar algum tipo de shell com login único para acesso aos vários sistemas.
4 Vulnerabilidade - Páginas de Erro que exibem informações do Sistema

Descrição do problema: No www.abntcatalogo.com.br e nos outros sistemas quando ocorre um erro

são exibidas páginas que exibem informações sobre esses sistemas: versões dos aplicativos
utilizados e outras
4 Sistema: CERTO

Acesso: http://www.abntonline.com.br/CERTO

Usuários: Armazenados na tabela Usuarios

Senha Encriptada ? Não

Senha Expira ? Não

Permissões por Usuário ? Sim

Log de acesso ? Não

Log de Operações ? Não

4 Sistema: CRM

Acesso: http://www.abntonline.com.br/CRM4

Usuários: Armazenados na tabela BS_Senhas

Senha Encriptada ? Não

Senha Expira ? Sim

Permissões por Usuário ? Sim

Log de acesso ? Não

Log de Operações ? Não

4 Sistema: CUP

Acesso: http://www.abntonline.com.br/cadastro

Usuários: Tabela Passaporte

Senha Encriptada ? Não

Senha Expira ? Sim

Permissões por Usuário ? Sim

Log de acesso ? Não

Log de Operações ? Não

4 Sistema: FÁBRICA

Acesso: http://www.abntonline.com.br/fabrica

Usuários: Tabela Passaporte

Senha Encriptada ? Não

Senha Expira ? Sim

Permissões por Usuário ? Sim

Log de acesso ? Não

Log de Operações ? Não

4 Sistema: CURSO

Acesso: http://www.abntonline.com.br/curso

Usuários: Tabela Passaporte

Senha Encriptada ? Não

Senha Expira ? Sim

Permissões por Usuário ? Sim

Log de acesso ? Não

Log de Operações ? Não

4 Sistema: CONSULTA NACIONAL

Acesso: http://www.abntonline.com.br/consultanacional

Usuários: Tabela Passaporte

Senha Encriptada ? Não

Senha Expira ? Sim

Permissões por Usuário ? Sim

Log de acesso ? Não

Log de Operações ? Não

4 Sistema: GEP - Gestão Eletrônica de Projetos

Acesso: http://www.abntonline.com.br/consultanacional

Usuários: Tabela Passaporte

Senha Encriptada ? Não

Senha Expira ? Sim

Permissões por Usuário ? Sim

Log de acesso ? Não

Log de Operações ? Não

4 Sistema: NIT - Novo Item de Trabalho

Acesso: http://www.abntonline.com.br/nit

Usuários: Tabela Passaporte

Senha Encriptada ? Não

Senha Expira ? Sim

Permissões por Usuário ? Sim

Log de acesso ? Não

Log de Operações ? Não

4 Proposta de Controle Centralizado de Acesso - CCA