Merge pull request 'owasp zap config v9' (#15) from teste-bloqueio into main

Reviewed-on: #15

.gitea/workflows/deploy.yml

@@ -62,17 +62,19 @@ jobs:
           mkdir -p qatests
           docker volume create zap-data
           
-          # A MAGIA ACONTECE AQUI: Escrevemos o ficheiro de configuração diretamente no volume!
+          # Mudei o nome para zap-rules.conf (já não estamos a fazer baseline)
-          docker run --rm -v zap-data:/zap/wrk alpine sh -c 'echo "FAIL_ON_SEVERITY: HIGH" > /zap/wrk/zap-baseline.conf'
+          docker run --rm -v zap-data:/zap/wrk alpine sh -c 'echo "FAIL_ON_SEVERITY: HIGH" > /zap/wrk/zap-rules.conf'
           
-          echo ">>> 4. Executar OWASP ZAP..."
+          echo ">>> 4. Executar OWASP ZAP (FULL SCAN + AJAX SPIDER)..."
+          # AQUI: zap-full-scan.py em vez de zap-baseline.py!
           docker run --user root --name zap-scanner \
             --network zap-net \
             -v zap-data:/zap/wrk/:rw \
-            -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py \
+            -t ghcr.io/zaproxy/zaproxy:stable zap-full-scan.py \
             -t http://apex-sandbox:3000 \
             -r report.html \
-            -I -c zap-baseline.conf || true
+            -j \
+            -I -c zap-rules.conf || true
             
           echo ">>> 5. Recolher o relatório HTML..."
           docker cp zap-scanner:/zap/wrk/report.html qatests/report.html || true

backend/server.js

@@ -23,19 +23,6 @@ app.get('/about', (req, res) => res.sendFile(path.join(__dirname, '../frontend/a
 app.get('/careers', (req, res) => res.sendFile(path.join(__dirname, '../frontend/careers.html')));
 app.get('/contact', (req, res) => res.sendFile(path.join(__dirname, '../frontend/contact.html')));
 
-// Rota de Pesquisa Vulnerável a Reflected XSS (Armadilha para o OWASP ZAP)
-app.get('/api/search', (req, res) => {
-    const termoPesquisa = req.query.q || '';
-    // A vulnerabilidade: devolver o input diretamente para o navegador como HTML
-    res.send(`
-        <html>
-            <body>
-                <h2>Resultados da pesquisa para: ${termoPesquisa}</h2>
-                <p>Nenhum resultado encontrado.</p>
-            </body>
-        </html>
-    `);
-});
 
 // Configuração do transporte de E-mail
 let transporter;
@@ -59,11 +46,27 @@ if (process.env.NODE_ENV === 'test') {
 
 
 // Endpoint do Formulário de Contacto (Com Recetor Dinâmico)
-app.post('/api/contact', async (req, res) => {
+/*app.post('/api/contact', async (req, res) => {
     const { firstName, lastName, email, company, message } = req.body;
 
     if (!email || !message) {
         return res.status(400).json({ error: 'Email and message are required.' });
+    }*/
+
+app.post('/api/contact', async (req, res) => {
+    const { firstName, lastName, email, company, message } = req.body;
+
+    // ==========================================
+    // ARMADILHA PARA O ZAP (Reflected XSS)
+    // Se faltarem dados, devolvemos o input diretamente como HTML
+    // ==========================================
+    if (!email || !message) {
+        res.setHeader('Content-Type', 'text/html'); // Força o browser a interpretar como HTML
+        return res.status(400).send(`
+            <h2>Erro de Validação</h2>
+            <p>Os campos Email e Mensagem são obrigatórios.</p>
+            <p>Nome recebido: ${firstName}</p> 
+        `); 
     }
 
     try {

tests/core.test.js

@@ -52,7 +52,13 @@ describe('Enterprise Application Flow & API Validation', () => {
             const response = await request(app).post('/api/contact').send(invalidPayload);
             
             expect(response.status).toBe(400);
-            expect(response.body).toHaveProperty('error', 'Email and message are required.');
+            
+            // ==========================================
+            // CORREÇÃO DEVSECOPS: O servidor agora devolve HTML para a armadilha XSS!
+            // Lemos o response.text (HTML) em vez do response.body (JSON)
+            // ==========================================
+            expect(response.text).toContain('Erro de Validação');
+            expect(response.text).toContain('John'); // Garante que o input foi refletido na página (a vulnerabilidade XSS)
         });
 
         it('Should process request, return 200 OK, and invoke SMTP transporter with valid data', async () => {
@@ -70,7 +76,6 @@ it('Should process request, return 200 OK, and invoke SMTP transporter with vali
             expect(response.status).toBe(200);
             
             // Validate Business Logic: Verifica o objeto 'transporter' que veio do server.js
-            // Como este objeto é o que injetámos no server, ele já é o mock!
             expect(transporter.sendMail).toHaveBeenCalledTimes(1);
         });
     });