Como fui invadido e o que aprendi com isso!
Recentemente, um sistema no qual já fui desenvolvedor chefe (e que hoje só ajudo quando aparece algum B.O. grande) foi invadido.
Graças a Deus, a invasão foi feita por um pessoal bem-intencionado, com o objetivo apenas de mostrar as vulnerabilidades do sistema. Enfim, pagamos o preço, e agora vou realizar todas as correções e revalidações.
Mas quero falar o que aprendi com essa experiência…
*
Só pra resumir: o ataque foi XSS.*
O que aprendi?
1 – Validação de campos
Seja em áreas internas do sistema ou externas (como formulários de assinatura), a validação é essencial.
No meu caso, o “cliente” invadiu via formulário de assinatura e também internamente. Por exemplo, no campo de nome do cliente, em vez de digitar um nome, ele enviou um <script ...> e assim conseguiu acessar informações valiosas do sistema.
2 – Não confiar 100% no código gerado por IA
Revisar é sempre a melhor opção. Tenho certeza de que, se eu tivesse revisado algumas partes feitas por IA, cerca de 40% dos problemas não teriam acontecido.
E aí, você já passou por algo assim? 😅
Se quiser, depois conto mais detalhes… kkk