Readmoo 讀墨電子書
每日問答 每日優惠 版權到期
Beyond XSS：探索網頁前端資安宇宙
0 則劃線
0 篇書評

Beyond XSS：探索網頁前端資安宇宙

分類導覽 > 電腦科技 > 網際網路
共 1 人評分
  • 出版日期： 2024/07/19
  • 語言：繁體中文
  • 檔案大小：98.3MB
  • 商品格式：固定版面 EPUB
  • ISBN: 9786267383803
  • eISBN: 9786267383902
  • 頁數： 428
紙本書定價：NT$ 880
電子書定價：NT$ 880
電子書售價：NT$ 704
本書為固定版面 EPUB，建議您使用 mooInk Pro 系列、平板及電腦閱讀。

☆★☆★☆原理說明 x 攻擊技巧 x 防禦手法 x 實際案例☆★☆★☆
☆★☆★☆系統性學習網頁前端知識以及資安☆★☆★☆
☆★☆★☆從資安角度重新學習網頁知識☆★☆★☆

喜歡這本的人，也看了...

  • 屠震博士
    旗標科技股份有限公司
    電子書： NT$ 499

    打造資安韌性，迎接數位未來｜屠震博士傾力鉅作 本書匯聚屠震博士超過 30 年的資安實戰經驗，專為產業人才量身打造，協助全面提升資訊安全意識，共同守護產...

    試讀
  • Jollen
    Jollen
    電子書： NT$ 210

    想學 Node.js 嗎？考慮用本書當你的入門教材吧！作者 Jollen 兼具開發與教學的經驗，先談 JavaScript 設計模式和使用 HTML5 開發 Web App 的基本概念，...

    試讀
  • 群傳媒
    群傳媒股份有限公司
    電子書： NT$ 0

    《Readmoo讀墨電子書製作準則》是 Readmoo 讀墨 廠商上架的檔案規範手冊。建議合作廠商初次上架前可以翻閱，避免因為檔案問題造成上架時間的拖延。

    試讀
  • 大久保隆夫
    台灣東販
    電子書： NT$ 266

    跟著資安專家輕鬆讀懂基礎知識、原理和應用， 從實踐數位安全到個資安全維護！

    試讀
  • 李秉鴻 周廷諺
    博碩文化
    出版日期：2022-11-27
    電子書： NT$ 490

    掌握AWS雲端運算服務全架構

    試讀
  • 李秉鴻 周廷諺 黃文萱 饒貫玄
    博碩文化
    出版日期：2025-10-02
    電子書： NT$ 680

    ◆ 以供應鏈產銷的方式剖析勞動力，並以圖解方式說明AI Agent架構 ◆ 附AI認證小幫手，協助考取各類雲端與AI認證 ◆ 兼具系統性理論以及各類業務情境的AI Agen...

    試讀
  • 吳燦銘 著 ZCT 策劃
    博碩文化
    電子書： NT$ 500

    本書完全是以入門者的角度來撰寫，為了幫助學習過程降低負擔，一開始會先介紹網路入門與創新應用，包括：通訊網路基礎、網路參考模型、通訊基礎設備及資料通...

    試讀
  • 西村泰洋
    台灣東販
    出版日期：2021-12-21
    電子書： NT$ 280

    圖解方式讓您綜觀系統中不可或缺的伺服器全貌

    試讀
  • 群傳媒
    群出版
    電子書： NT$ 0

    mooInk Nana 使用手冊，下載即可離線查詢與 mooInk Nana 相關問題。內容未盡完善之處，也歡迎利用「意見回饋」功能告訴我們。 更新日期：2024/12/16

    試讀
  • 阿石
    香港商亮光文化有限公司(台灣分公司)
    電子書： NT$ 1099

    理解AI的本質，掌握實戰工具 建構核心應用，落地執行藍圖 讓你掌握一套可落地、可衡量、可複製的方法，將AI的潛力，轉化為企業最堅實的競爭壁壘 你在日常工...

    試讀
  • 群傳媒
    群傳媒股份有限公司
    電子書： NT$ 0

    想要上架電子書嗎？覺得EPUB檔很複雜嗎？現在起可以用Word檔直接上架。 本書是Readmoo官方的Word檔上架範例，內容包含一份Word檔範例及本範例經mooPub系統...

    試讀
  • 傑克Jacky
    傑克の平行宇宙
    電子書： NT$ 0

    📘 《現代社群存活指南》 在這個一滑即過、按錯就忘的時代，我們真的只能靠爆紅才能被看見嗎？ 這本書不是教你怎麼紅，而是陪你釐清：你想被誰看見，又想留...

    試讀
  • 群傳媒
    群出版
    電子書： NT$ 0

    mooInk Pro 2 使用手冊，下載即可離線查詢與 mooInk Pro 2 相關問題。內容未盡完善之處，也歡迎利用「意見回饋」功能告訴我們。 更新日期：2023/11/08

    試讀
  • 王旭正 李榮三 魏國瑞
    博碩文化
    出版日期：2025-10-15
    電子書： NT$ 750

    時代在改變，科技在進步，在人類自以為能掌控世間萬物時，有心人士正一步步逼近良善之人，從渺小的破綻進攻，甚至長驅直入系統核心。所以人人的資訊安全，需...

    試讀
  • 李東霖（東東）
    博碩文化
    出版日期：2025-09-11
    電子書： NT$ 680

    針對Google Cloud手把手操作講解最詳細的中文書籍 巿面上關於Google Cloud的教學資源，內容太多且分散，沒有一個整理好的學習路徑，對於新手來說，完全不...

    試讀
  • 王旭正 王冠渝 林芊岑
    博碩文化
    出版日期：2025-09-21
    電子書： NT$ 550

    我們的故事，看到的不只是工具與程式碼，更是「真相的碎片」如何被收集、比對、驗證。與此同時，當你所看見的照片、聲音、訊息都可能經過AI模擬或生成，那麼...

    試讀
  • 艾莉．T
    艾莉.研究室
    電子書： NT$ 349

    《AI 小白也看得懂的第一本書》 從珍奶、蛋餅到生活例子，用人話帶你看懂 AI 的世界 AI、ChatGPT、Prompt、聽起來好難？ 這本書用珍奶、蛋餅和生活例子， 用...

    試讀
  • 艾蓮・卡斯凱特
    貓頭鷹
    電子書： NT$ 357

    人際關係、孩子的成長、日常溝通、自我形象、注意力、情緒、隱私， 會因為科技而有什麼改變？ ◎網路心理學家獻給AI時代的人生指南 ◎探討數位時代人格...

    試讀

    • 詳細資訊

    "☆★☆★☆原理說明 x 攻擊技巧 x 防禦手法 x 實際案例☆★☆★☆
    ☆★☆★☆系統性學習網頁前端知識以及資安☆★☆★☆
    ☆★☆★☆從資安角度重新學習網頁知識☆★☆★☆


    相信我，前端工程師所接觸到的前端，只是整個網頁前端的冰山一角。

    曾經我以為自己很懂前端，做過了幾個專案，當了幾年的工程師，想說前端不就這樣嗎，直到我接觸了資安，才發現自己傻得可以。

    從前端資安的角度切入，帶我看到了以前不會看到的東西，讓我更了解整個瀏覽器跟各種機制的運作，並且把這些知識再帶回前端，完整了自己的前端知識圖譜。

    這是一本從網頁學習資安，也從資安學習網頁的書籍，無論是對網頁還是對資安有興趣，一定都能開拓視野並得到收穫。"

    目錄列表

  • 目錄
    1. 目錄
      1. 第 1 章 從 XSS 開始談前端資安
        1. 1-1 瀏覽器的安全模型
          1. 禁止主動讀寫本機的檔案
          2. 禁止呼叫系統 API
          3. 禁止存取其他網頁的內容
        2. 1-2 前端資安還是得從 XSS 開始談起才對味
          1. XSS 是什麼？可以做到哪些事情？
          2. XSS 的來源
          3. Self-XSS
          4. Blind XSS
        3. 1-3 再多了解 XSS 一點點
          1. 能夠執行 JavaScript 的方式
          2. 不同情境的 XSS 以及防禦方式
          3. 注入 HTML
          4. 注入屬性
          5. 注入 JavaScript
        4. 1-4 危險的 javascript: 偽協議
          1. 什麼是 javascript: 偽協議？
          2. 哪些地方可以使用 javascript: 偽協議？
          3. 為什麼它很危險？
          4. 頁面跳轉也有風險
          5. 防禦方式
          6. 實際案例
          7. 小結
      2. 第 2 章 XSS 的防禦方式以及繞過手法
        1. 2-1 XSS 的第一道防線：Sanitization
          1. 最基本的手段：編碼
          2. 該如何處理 HTML
          3. 使用 DOMPurify
          4. 正確的函式庫，錯誤的使用方式
          5. 小結
        2. 2-2 XSS 的第二道防線：CSP
          1. 自動防禦機制：Content Security Policy
          2. CSP 的規則
          3. script-src 的規則
          4. 怎麼決定 CSP 規則要有哪些？
          5. 別人的 CSP 是怎麼設定的
          6. 小結
        3. 2-3 XSS 的第三道防線：降低影響範圍
          1. 第一招：最有效的解法 - 多重驗證
          2. 第二招：不讓 token 被偷走
          3. 第三招：限制 API 的呼叫
          4. 第四招：限制 token 的權限
          5. 小結
        4. 2-4 最新的 XSS 防禦：Trusted Types 與內建的 Sanitizer API
          1. Sanitizer API
          2. Trusted Types
          3. 小結
        5. 2-5 繞過你的防禦：常見的 CSP bypass
          1. 經由不安全的 domain 的繞過
          2. 經由 base 的繞過
          3. 經由 JSONP 的繞過
          4. JSONP 繞過的限制
          5. 經由重新導向的繞過
          6. 經由 RPO 的繞過
          7. 其他種類的繞過
          8. 小結
        6. 2-6 繞過你的防禦：Mutation XSS
          1. Sanitizer 的基本運作方式
          2. 瀏覽器的貼心服務
          3. 神奇的 HTML
          4. 全部加在一起
          5. 問題的修復
          6. 小結
        7. 2-7 最強的 XSS：Universal XSS
          1. 2006 年的 Firefox 的 Adobe Acrobat plugin
          2. 2012 年的 Android Chrome 的 UXSS
          3. 2019 年 Chromium 透過 portal 的 UXSS
          4. 2021 年 Chromium 透過下載圖片觸發的 UXSS
          5. 多個 Brave 瀏覽器 iOS app 的 UXSS
          6. 小結
      3. 第 3 章 不直接執行 JavaScript 的攻擊手法
        1. 3-1 利用原型鏈的攻擊方式：Prototype Pollution
          1. 原型鏈簡介
          2. 改變預設 prototype 上的屬性
          3. 污染了屬性以後可以幹嘛？
          4. Prototype pollution 是怎麼發生的？
          5. Prototype pollution script gadgets
          6. 該如何防禦
          7. 實際案例
          8. 看不見的前端 gadget
          9. 小結
        2. 3-2 HTML 也可以影響 JavaScript ？ DOM clobbering 介紹
          1. DOM與 window 的量子糾纏
          2. DOM clobbering 入門
          3. 多層級的 DOM Clobbering
          4. 再更多層級的 DOM Clobbering
          5. 透過 document 擴展攻擊面
          6. 實際案例研究：Gmail AMP4Email XSS
          7. 小結
        3. 3-3 前端的模板注入攻擊：CSTI
          1. Server Side Template Injection
          2. SSTI 的實際案例
          3. Client Side Template Injection
          4. CSTI 的實際案例
          5. AngularJS 與 CSP bypass
          6. 小結
        4. 3-4 只用 CSS 也能攻擊？ CSS injection 基礎篇
          1. 什麼是 CSS injection ？
          2. 利用 CSS 偷資料
          3. 偷 hidden input
          4. 偷 meta
          5. 偷 HackMD 的資料
          6. CSS injection 與其他漏洞的組合技
          7. 小結
        5. 3-5 CSS injection 進階篇
          1. 偷到所有字元
          2. 一次偷一個字元，太慢了吧？
          3. 偷其他東西
          4. 字體高度差異+ first-line + scrollbar
          5. 大絕招：ligature + scrollbar
          6. 防禦方式
          7. 小結
        6. 3-6 就算只有 HTML 也能攻擊？
          1. Reverse tabnabbing
          2. 透過 meta 標籤重新導向
          3. 透過 iframe 的攻擊
          4. 透過表單也能攻擊？
          5. Dangling Markup injection
          6. 小結
      4. 第 4 章 跨越限制攻擊其他網站
        1. 4-1 重中之重：Same-origin policy 與 site
          1. Origin 跟 site 到底是什麼？該怎麼區分？
          2. 細究 same origin
          3. 細究 same site
          4. Same origin 與 same site
          5. 神奇的 documentdomain
          6. 案例一：單方面改變
          7. 案例二：消失的 port
          8. 案例三：我不是原來的我
          9. documentdomain 的淡出及退場
          10. 小結
        2. 4-2 跨來源資源共用 CORS 基本介紹
          1. 為什麼不能跨來源呼叫 API ？
          2. 隨堂小測驗
          3. 跨來源 AJAX 是怎麼被擋掉的？
          4. 該如何設置 CORS ？
          5. 小結
        3. 4-3 跨來源的安全性問題
          1. CORS misconfiguration
          2. 實際案例
          3. 其他各種 COXX 系列 header
          4. 嚴重的安全漏洞：Meltdown 與 Spectre
          5. 超級簡化版的 Spectre 攻擊解釋
          6. CORB（Cross-Origin Read Blocking）
          7. CORP（Cross-Origin Resource Policy）
          8. Site Isolation
          9. COEP（Cross-Origin-Embedder-Policy）
          10. COOP（Cross-Origin-Opener-Policy）
          11. 再回到 cross-origin isolated state
          12. 小結
        4. 4-4 跨站請求偽造 CSRF 一點就通
          1. 從偷懶的刪除功能開始介紹 CSRF
          2. 使用者的防禦
          3. 伺服器的防禦
          4. 檢查 Referer 或是 Origin header
          5. 加上圖形驗證碼或是簡訊驗證碼等等
          6. 常見的防禦方式
          7. 純前端的 Double Submit Cookie
          8. 其他解法
          9. 加上 custom header
          10. 實際案例
          11. 漏洞連連看：CSRF 與 self-XSS
          12. 小結
        5. 4-5 Same-site cookie，CSRF 的救星？
          1. 初探 same-site cookie
          2. Same-site cookie 的歷史
          3. 中場休息加思考時間
          4. GET 型態的 CSRF
          5. Same-site cookie 的隱藏規則
          6. 防止 CSRF，真的只要 same-site cookie 就夠了嗎？
          7. 實際案例
          8. 小結
        6. 4-6 從 same-site 網站打進你家
          1. Subdomain takeover
          2. 獲取子網域控制權以後可以做的事
          3. 運用錯誤的安全假設
          4. Cookie tossing
          5. 小結
        7. 4-7 有趣又實用的 Cookie bomb
          1. Cookie bomb 介紹
          2. 攻擊流程
          3. 防禦方式
          4. 攻擊面擴展
          5. 找到輕易設置 cookie 的地方
          6. 實際測試
          7. 防禦方式
          8. 再看一個實際的案例
          9. Cookie bomb 的漏洞連連看
          10. 小結
      5. 第 5 章 其他有趣的前端資安主題
        1. 5-1 你的畫面不是你的畫面：Clickjacking 點擊劫持
          1. Clickjacking 攻擊原理
          2. Clickjacking 的防禦方式
          3. 防禦總結
          4. 實際案例
          5. 無法防禦的 clickjacking ？
          6. 小結
        2. 5-2 結合 MIME sniffing 發起攻擊
          1. MIME sniffing 初體驗
          2. 利用 MIME sniffing 進行攻擊
          3. 可以執行 JavaScript 的 content type
          4. 可以當成 script 載入的 content type
          5. Content type 檢查的繞過
          6. 小結
        3. 5-3 前端供應鏈攻擊：從上游攻擊下游
          1. cdnjs
          2. 解析 cdnjs 的 RCE 漏洞
          3. 身為前端工程師，該如何防禦？
          4. 小結
        4. 5-4 網頁前端攻擊在 Web3 上的應用
          1. 影響力更大的 XSS
          2. Cookie bomb 的實際應用
          3. 小結
        5. 5-5 最有趣的前端旁路攻擊：XS-Leaks
          1. 旁路攻擊，就是一種旁敲側擊
          2. XS-Leaks 實際體驗
          3. 利用狀態碼的 XS-Leaks
          4. XS-Leaks 的防禦方式
          5. 其他可以 leak 的東西
          6. 小結
        6. 5-6 XS-Leaks 的進階應用 XS-Search 與 Cache probing
          1. Cache probing
          2. Cache probing 加 error event，蹦出新滋味
          3. 實際的 Google XS-Search 案例
          4. Cache partitioning
          5. 更多 XS-Leaks
          6. 小結
      6. 第 6 章 Case study - 有趣的攻擊案例分享
        1. 6-1 差一點的 Figma XSS
        2. 6-2 繞過層層防禦：Proton Mail XSS
        3. 6-3 隱藏在 Payment 功能中的 Chrome 漏洞
        4. 6-4 從 Prototype Pollution 到 Bitrix24 XSS
        5. 6-5 PHP 底層 bug 引發的 Joomla! XSS
      7. 結語

    購買說明

    根據台灣現行法規，數位內容（ 如電子書、音樂、影片、遊戲、App ）形式之商品，不受「網購服務需提供七日鑑賞期」的限制。為維護您的權益，建議您先使用「試讀」功能後再付款購買。

    作者其他作品

    JavaScript重修就好

    MORE
    出版社簡介
    深智數位股份有限公司
    出版社作品

    生成式AI × 穩健提示爬蟲技術 I－數據抓取篇：爬蟲× OCR × 多模態API應用×Perplexity AI Comet Generative AI × Robust Prompted Sampling

    大型語言模型應用實戰：從Prompt Engineering到Agentic RAG與MCP

    NotebookLM筆記術：打造你的AI「第二大腦」

    更多出版社作品
    試讀