Segurança de aplicações Java: top 10 vulnerabilidades para iniciantes

Segurança de aplicações Java: top 10 vulnerabilidades para iniciantes

O Java continua sendo uma das linguagens mais populares para criar aplicações corporativas e web. No entanto, mesmo uma plataforma confiável não garante a segurança do código. De acordo com a OWASP, a maioria das invasões ocorre devido a erros dos desenvolvedores, e não devido a vulnerabilidades na JVM. Neste artigo, vamos abordar as top 10 vulnerabilidades de aplicações Java que todo desenvolvedor iniciante deve conhecer. Você obterá não apenas conhecimento teórico, mas também exemplos práticos de código com explicações sobre como evitar erros perigosos.

1. SQL Injection

A ameaça mais comum. Um atacante pode executar uma consulta SQL arbitrária se você concatenar strings diretamente.

Exemplo ruim (código vulnerável):

String query = "SELECT * FROM users WHERE username = '" + userName + "' AND pass = '" + password + "'";\nStatement stmt = connection.createStatement();\nResultSet rs = stmt.executeQuery(query);

Solução: use PreparedStatement com consultas parametrizadas.

String query = "SELECT * FROM users WHERE username = ? AND pass = ?";\nPreparedStatement pstmt = connection.prepareStatement(query);\npstmt.setString(1, userName);\npstmt.setString(2, password);\nResultSet rs = pstmt.executeQuery();

2. Cross-Site Scripting (XSS)

Se você exibir dados do usuário em HTML sem escapá-los, um atacante pode injetar código JavaScript.

Código vulnerável (JSP):

<%= request.getParameter("message") %>

Proteção: escape a saída usando bibliotecas (por exemplo, OWASP Java Encoder) ou use mecanismos de template com auto-escaping (Thymeleaf, JSP com JSTL).

<c:out value="${message}" />

3. Desserialização insegura

A desserialização em Java pode levar à execução remota de código (RCE) se um atacante enviar um fluxo de bytes especialmente criado.

Má prática:

ObjectInputStream ois = new ObjectInputStream(socket.getInputStream());\nObject obj = ois.readObject(); // qualquer coisa pode ser restaurada

Recomendações:

\n
• Nunca desserialize dados de fontes não confiáveis.
\n
• Use listas brancas de classes (look-ahead object input stream).
\n
• Considere alternativas (JSON, Protobuf).
\n

4. Injeção de comandos do SO (Command Injection)

Se sua aplicação chama comandos do sistema com dados do usuário, é possível ocorrer injeção.

Código perigoso:

Runtime.getRuntime().exec("ping " + userInput); // userInput = 127.0.0.1; rm -rf /

Proteção: evite chamar comandos shell, use bibliotecas Java integradas. Se a chamada for inevitável — valide os dados de entrada com uma lista branca rigorosa.

5. Falhas de autenticação e gerenciamento de sessão

Proteção de sessão fraca é um problema comum. Por exemplo, uso de identificadores de sessão previsíveis ou armazenamento de senhas em texto claro.

\n
• Gere IDs de sessão usando SecureRandom.
\n
• Use hashing moderno (bcrypt, scrypt, Argon2) para senhas.
\n
• Defina timeouts de sessão e flags HttpOnly/Secure para cookies.
\n

6. Configuração insegura (Security Misconfiguration)

Modos de depuração deixados ativos, senhas padrão, portas abertas — tudo isso dá ao atacante informações sobre o sistema.

O que verificar no Spring Boot:

\n
• Desative os endpoints do Actuator em produção ou proteja-os.
\n
• Não use spring.jpa.show-sql=true em produção.
\n
• Remova cabeçalhos de servidor padrão