Cibersegurança e segurança da informação

Vulnerabilidades de Upload de Ficheiros: Testes e Riscos

6 min de leituraPublicado: 5 de agosto de 2026

Ilustração visual profissional sobre o teste de Upload de Ficheiros na área de Web e API PT

Resposta rápida

O teste de Upload de Ficheiros só deve ser realizado em laboratório ou em sistemas autorizados. Verifique o Request/Response, o comportamento do servidor, os Roles, o State e o impacto, utilizando testes mínimos que não comprometam os dados.

O teste de segurança Web e API deve examinar os limites de confiança, permissões, entrada, State e lógica de negócio. Cada teste neste artigo destina-se a um laboratório, CTF ou sistema para o qual foi concedida permissão explícita. Este artigo centra-se no teste de Upload de Ficheiros e destina-se a estudantes de Web PT e programadores. O objetivo é fornecer uma metodologia de trabalho que possa ser aplicada na prática, numa entrevista profissional e num ambiente de trabalho, sem se contentar com uma definição de dicionário.

O principal desafio é que os dados estão quase sempre incompletos. A extension, MIME e magic bytes podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construiremos o teste em torno de uma questão de investigação, das evidências necessárias e de um critério claro para a conclusão.

O cenário prático no artigo é: Matriz de teste com ficheiros de amostra de diferentes tipos. Todos os exemplos são dados de laboratório ou descrições de processos. No caso de Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com aprovação explícita, um Scope definido e a capacidade de parar o teste.

Mapeamento do Fluxo de Upload

O tópico 'Mapeamento do Fluxo de Upload' é uma parte central do trabalho de teste de Upload de Ficheiros. Recomenda-se dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar? Estas perguntas impedem o uso automático de uma ferramenta sem entender o objetivo.

Na prática, anote a extension, MIME, magic bytes, storage path, execution, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Validação no Cliente e no Servidor

Um teste profissional para o teste de Upload de Ficheiros começa com condições de sucesso e condições de falha. Define-se um Caso positivo, um Caso negativo, um Caso limite e uma atividade legítima semelhante. Desta forma, podem ser identificados tanto False Negative como False Positive.

Num ambiente autorizado, usa-se uma ação mínima que comprove a alegação sem causar danos. Guarda-se o Input, Output, tempo e versão, e após a correção, realiza-se um Retest no mesmo cenário e verifica-se também a Regression em funções adjacentes.

Manipulação de Filename e Path

O tópico 'Manipulação de Filename e Path' é uma parte central do trabalho de teste de Upload de Ficheiros. Recomenda-se dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar? Estas perguntas impedem o uso automático de uma ferramenta sem entender o objetivo.

Armazenamento e Serviço

O tópico 'Armazenamento e Serviço' é uma parte central do trabalho de teste de Upload de Ficheiros. Recomenda-se dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar? Estas perguntas impedem o uso automático de uma ferramenta sem entender o objetivo.

Scanning, Isolamento e Retest

Pontos de Teste Únicos

Neste tópico, recomenda-se construir antecipadamente um mapa de evidências focado. Os principais pontos de teste são: extension, MIME, magic bytes, storage path, execution, randomized names. A lista não é uma Checklist automática; cada item é escolhido porque pode ligar uma entidade, ação e tempo ou explicar um comportamento legítimo.

extension: Defina qual é o valor esperado, o que será considerado uma anomalia e qual a fonte adicional que verificará a descoberta.
MIME: Defina qual é o valor esperado, o que será considerado uma anomalia e qual a fonte adicional que verificará a descoberta.
magic bytes: Defina qual é o valor esperado, o que será considerado uma anomalia e qual a fonte adicional que verificará a descoberta.
storage path: Defina qual é o valor esperado, o que será considerado uma anomalia e qual a fonte adicional que verificará a descoberta.
execution: Defina qual é o valor esperado, o que será considerado uma anomalia e qual a fonte adicional que verificará a descoberta.
randomized names: Defina qual é o valor esperado, o que será considerado uma anomalia e qual a fonte adicional que verificará a descoberta.

Quando um dos focos não está disponível, a lacuna deve ser documentada e uma alternativa deve ser escolhida. Por exemplo, se o Process identifier não for estável, pode-se usar tempo, Host, User e Parent; se o Payload for encriptado, usa-se Metadata, volume, frequência e TLS/DNS context.

Processo de Trabalho Recomendado

Defina o Scope e uma questão de trabalho sobre o teste de Upload de Ficheiros.
Liste as fontes de dados e evidências necessárias: extension, MIME, magic bytes, storage path.
Crie uma Baseline curta de comportamento correto ou resultado esperado.
Execute o teste mínimo num ambiente de laboratório e guarde o tempo, entrada e saída.
Construa uma Timeline ou tabela de comparação e separe o facto da interpretação.
Execute um Pivot para uma fonte adicional para confirmar ou refutar a explicação inicial.
Conclua a decisão, limitações, ação recomendada e critério de Retest.

Cenário Prático

O cenário escolhido é uma matriz de teste com ficheiros de amostra de diferentes tipos. O objetivo do exercício não é provar a capacidade de ataque, mas praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, são definidos dados simulados, uma janela de tempo e um resultado esperado.

No final do exercício, deve ser apresentado um resultado que outro analista ou testador possa rever: uma captura de ecrã ou exportação da evidência, uma breve Timeline, uma suposição inicial, uma evidência de verificação, uma limitação e uma recomendação. Quando não há evidência suficiente, a conclusão correta é que o cenário não foi provado.

Fase	O que é realizado	Resultado
Preparação	Defina o Scope, tempo e objetivo. Anote quais campos ou evidências de extension, MIME, magic bytes são esperados.	Plano de teste curto
Criação de Dados	Execute uma ação segura e simulada relacionada com o teste de Upload de Ficheiros, sem informações reais ou impacto num sistema de produção.	Evento/Request/Fluxo controlado
Recolha	Recolha a evidência bruta e o contexto de outra fonte. Verifique o Time zone, identificadores e integridade.	Duas evidências relacionadas
Análise	Escreva o que cada evidência prova, o que não prova e qual é a explicação legítima possível.	Conclusão intermédia
Conclusão	Escolha um encerramento, escalonamento, Finding ou Tuning; adicione uma recomendação e Retest.	Produto documentado

Checklist Prática

Verificar e documentar: Role e session.
Verificar e documentar: Endpoint e method.
Verificar e documentar: Request/Response.
Verificar e documentar: Object identifier.
Verificar e documentar: Server-side effect.
Verificar e documentar: Control expected e remediation.
Indicar Time zone, versão da ferramenta e hora de recolha.
Guardar o dado bruto antes de filtrar ou alterar.
Escrever o que a descoberta prova e o que ainda é desconhecido.
Definir proprietário e ação de acompanhamento com prazo.

Erros Comuns

Verificar apenas o Status code.
Depender da alteração Client-side.
Usar um Payload perigoso.
Não verificar Roles diferentes.
Ignorar a lógica de negócio.
Reportar sem Request/Response limpos.

Resumo e CTA

Vulnerabilidades de Upload de Ficheiros: Testes e Riscos é um tópico que conecta conhecimento técnico com disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, mantenha o contexto e o tempo, e escolha uma ação que possa ser justificada e retestada.

No curso Cybersecurity & AI da HPI, estes princípios são praticados através de sistemas, logs e laboratórios. O próximo passo natural é passar para os artigos relacionados, realizar o exercício de laboratório e guardar o resultado como parte de um portefólio profissional.

Perguntas frequentes

É permitido testar o Upload de Ficheiros num site público?

Não, sem permissão explícita do proprietário do sistema. Mesmo um teste que pareça simples pode alterar dados, acionar mecanismos de defesa ou ser considerado acesso não autorizado.

O que fazer quando alguns dados estão em falta?

Documente o que está em falta, verifique uma fonte alternativa e reduza o nível de confiança. Não preencha campos por suposição nem apresente 'Unknown' como correto.

Por quanto tempo as evidências devem ser guardadas?

O tempo depende da política, regulamentação, custo e tipo de evento. É importante definir antecipadamente a Retenção, Legal hold e a capacidade de exportar evidências num formato verificável.

Como praticar sem comprometer um sistema real?

Use máquinas virtuais, dados simulados, CTF ou um laboratório dedicado. Em testes autorizados, defina o Scope, Stop conditions e faça backup antes de iniciar o trabalho.