Readmoo 讀墨電子書
BL大哉問 每日優惠 版權到期
Beyond XSS：探索網頁前端資安宇宙
0 則劃線
0 篇書評

Beyond XSS：探索網頁前端資安宇宙

分類導覽 > 電腦科技 > 網際網路
共 1 人評分
  • 出版日期： 2024/07/19
  • 語言：繁體中文
  • 檔案大小：98.3MB
  • 商品格式：固定版面 EPUB
  • ISBN: 9786267383803
  • eISBN: 9786267383902
  • 頁數： 428
紙本書定價：NT$ 880
電子書定價：NT$ 880
電子書售價：NT$ 704
本書為固定版面 EPUB，建議您使用 mooInk Pro 系列、平板及電腦閱讀。

☆★☆★☆原理說明 x 攻擊技巧 x 防禦手法 x 實際案例☆★☆★☆
☆★☆★☆系統性學習網頁前端知識以及資安☆★☆★☆
☆★☆★☆從資安角度重新學習網頁知識☆★☆★☆

喜歡這本的人，也看了...

  • 安德魯‧史都華（Andrew J. Stewart）
    經濟新潮社
    電子書 NT$ 460

    美國2022年資訊安全名人堂（Cybersecurity Canon Hall of Fame 2022）得獎作品 個資外洩、網路詐騙、駭客勒索猖獗，受害者卻求償無門。 一本書，分析資訊...

    試讀
  • 群傳媒
    群傳媒股份有限公司
    電子書 NT$ 0

    《Readmoo讀墨電子書製作準則》是 Readmoo 讀墨 廠商上架的檔案規範手冊。建議合作廠商初次上架前可以翻閱，避免因為檔案問題造成上架時間的拖延。

    試讀
  • 蕭國倫 姜琇森 林恩碩 鄧至淇 林亭妤 等
    深智數位股份有限公司
    電子書 NT$ 624

    ☆NET 8 Core Web應用程式核心基礎與套件介紹 ★套件輔助學習 - 節省開發時間與心力 ☆使用分層架構 - 讓專案各司其職，提高應用程式的可維護性和擴展性 ...

    試讀
  • 財團法人台灣網路資訊中心
    財團法人台灣網路資訊中心
    出版日期：2026-06-01
    電子書 NT$ 0

    2025台灣網際網路號碼資源現況報告

    試讀
  • 陳祥輝
    博碩文化
    電子書 NT$ 380

    ■ 以大量「圖解」來呈現網路最基本與完整的架構原理與觀念，非常適合自學或教學使用。 ■ 透過「圖解」與「實例」取代冗長的文字解說，利用視覺的呈現，達到...

    試讀
  • 西村泰洋
    台灣東販
    出版日期：2021-12-21
    電子書 NT$ 280

    圖解方式讓您綜觀系統中不可或缺的伺服器全貌

    試讀
  • 吳承學
    吳承學
    電子書 NT$ 199

    一本寫給內容操盤手、SEO 接案者、網站主與 AI 產文使用者的 2026 搜尋實戰觀測手冊。 架構勝於邏輯： 解釋為什麼 Google 爬蟲更在乎段落的「訊號」與「資...

    試讀
  • 胡昭民
    博碩文化
    出版日期：2025-12-28
    電子書 NT$ 680

    從基礎到AI，用策略、工具與實戰，全方位掌握網路行銷新趨勢

    試讀
  • 阿石
    香港商亮光文化有限公司(台灣分公司)
    電子書 NT$ 1099

    理解AI的本質，掌握實戰工具 建構核心應用，落地執行藍圖 讓你掌握一套可落地、可衡量、可複製的方法，將AI的潛力，轉化為企業最堅實的競爭壁壘 你在日常工...

    試讀
  • 王旭正 李榮三 魏國瑞
    博碩文化
    出版日期：2025-10-15
    電子書 NT$ 750

    時代在改變，科技在進步，在人類自以為能掌控世間萬物時，有心人士正一步步逼近良善之人，從渺小的破綻進攻，甚至長驅直入系統核心。所以人人的資訊安全，需...

    試讀
  • 屠震博士
    旗標科技股份有限公司
    電子書 NT$ 499

    打造資安韌性，迎接數位未來｜屠震博士傾力鉅作 本書匯聚屠震博士超過 30 年的資安實戰經驗，專為產業人才量身打造，協助全面提升資訊安全意識，共同守護產...

    試讀
  • 吳燦銘
    博碩文化
    出版日期：2021-07-01
    電子書 NT$ 370

    ※內容架構完整，採用豐富的圖例來闡述基本觀念及應用，有效強化學習效果。 ※深入的分層架構的核心理論，以範例說明TCP/IP網路通訊協定的內涵。 ※透過十堂精...

    試讀
  • 傑克Jacky
    傑克の平行宇宙
    電子書 NT$ 0

    📘 《現代社群存活指南》 在這個一滑即過、按錯就忘的時代，我們真的只能靠爆紅才能被看見嗎？ 這本書不是教你怎麼紅，而是陪你釐清：你想被誰看見，又想留...

    試讀
  • 群傳媒
    群傳媒股份有限公司
    電子書 NT$ 0

    想要上架電子書嗎？覺得EPUB檔很複雜嗎？現在起可以用Word檔直接上架。 本書是Readmoo官方的Word檔上架範例，內容包含一份Word檔範例及本範例經mooPub系統...

    試讀
  • 大久保隆夫
    台灣東販
    電子書 NT$ 266

    跟著資安專家輕鬆讀懂基礎知識、原理和應用， 從實踐數位安全到個資安全維護！

    試讀
  • 艾蓮・卡斯凱特
    貓頭鷹
    電子書 NT$ 357

    人際關係、孩子的成長、日常溝通、自我形象、注意力、情緒、隱私， 會因為科技而有什麼改變？ ◎網路心理學家獻給AI時代的人生指南 ◎探討數位時代人格...

    試讀

    • 詳細資訊

    "☆★☆★☆原理說明 x 攻擊技巧 x 防禦手法 x 實際案例☆★☆★☆
    ☆★☆★☆系統性學習網頁前端知識以及資安☆★☆★☆
    ☆★☆★☆從資安角度重新學習網頁知識☆★☆★☆


    相信我，前端工程師所接觸到的前端，只是整個網頁前端的冰山一角。

    曾經我以為自己很懂前端，做過了幾個專案，當了幾年的工程師，想說前端不就這樣嗎，直到我接觸了資安，才發現自己傻得可以。

    從前端資安的角度切入，帶我看到了以前不會看到的東西，讓我更了解整個瀏覽器跟各種機制的運作，並且把這些知識再帶回前端，完整了自己的前端知識圖譜。

    這是一本從網頁學習資安，也從資安學習網頁的書籍，無論是對網頁還是對資安有興趣，一定都能開拓視野並得到收穫。"

    目錄列表

  • 目錄
    1. 目錄
      1. 第 1 章 從 XSS 開始談前端資安
        1. 1-1 瀏覽器的安全模型
          1. 禁止主動讀寫本機的檔案
          2. 禁止呼叫系統 API
          3. 禁止存取其他網頁的內容
        2. 1-2 前端資安還是得從 XSS 開始談起才對味
          1. XSS 是什麼？可以做到哪些事情？
          2. XSS 的來源
          3. Self-XSS
          4. Blind XSS
        3. 1-3 再多了解 XSS 一點點
          1. 能夠執行 JavaScript 的方式
          2. 不同情境的 XSS 以及防禦方式
          3. 注入 HTML
          4. 注入屬性
          5. 注入 JavaScript
        4. 1-4 危險的 javascript: 偽協議
          1. 什麼是 javascript: 偽協議？
          2. 哪些地方可以使用 javascript: 偽協議？
          3. 為什麼它很危險？
          4. 頁面跳轉也有風險
          5. 防禦方式
          6. 實際案例
          7. 小結
      2. 第 2 章 XSS 的防禦方式以及繞過手法
        1. 2-1 XSS 的第一道防線：Sanitization
          1. 最基本的手段：編碼
          2. 該如何處理 HTML
          3. 使用 DOMPurify
          4. 正確的函式庫，錯誤的使用方式
          5. 小結
        2. 2-2 XSS 的第二道防線：CSP
          1. 自動防禦機制：Content Security Policy
          2. CSP 的規則
          3. script-src 的規則
          4. 怎麼決定 CSP 規則要有哪些？
          5. 別人的 CSP 是怎麼設定的
          6. 小結
        3. 2-3 XSS 的第三道防線：降低影響範圍
          1. 第一招：最有效的解法 - 多重驗證
          2. 第二招：不讓 token 被偷走
          3. 第三招：限制 API 的呼叫
          4. 第四招：限制 token 的權限
          5. 小結
        4. 2-4 最新的 XSS 防禦：Trusted Types 與內建的 Sanitizer API
          1. Sanitizer API
          2. Trusted Types
          3. 小結
        5. 2-5 繞過你的防禦：常見的 CSP bypass
          1. 經由不安全的 domain 的繞過
          2. 經由 base 的繞過
          3. 經由 JSONP 的繞過
          4. JSONP 繞過的限制
          5. 經由重新導向的繞過
          6. 經由 RPO 的繞過
          7. 其他種類的繞過
          8. 小結
        6. 2-6 繞過你的防禦：Mutation XSS
          1. Sanitizer 的基本運作方式
          2. 瀏覽器的貼心服務
          3. 神奇的 HTML
          4. 全部加在一起
          5. 問題的修復
          6. 小結
        7. 2-7 最強的 XSS：Universal XSS
          1. 2006 年的 Firefox 的 Adobe Acrobat plugin
          2. 2012 年的 Android Chrome 的 UXSS
          3. 2019 年 Chromium 透過 portal 的 UXSS
          4. 2021 年 Chromium 透過下載圖片觸發的 UXSS
          5. 多個 Brave 瀏覽器 iOS app 的 UXSS
          6. 小結
      3. 第 3 章 不直接執行 JavaScript 的攻擊手法
        1. 3-1 利用原型鏈的攻擊方式：Prototype Pollution
          1. 原型鏈簡介
          2. 改變預設 prototype 上的屬性
          3. 污染了屬性以後可以幹嘛？
          4. Prototype pollution 是怎麼發生的？
          5. Prototype pollution script gadgets
          6. 該如何防禦
          7. 實際案例
          8. 看不見的前端 gadget
          9. 小結
        2. 3-2 HTML 也可以影響 JavaScript ？ DOM clobbering 介紹
          1. DOM與 window 的量子糾纏
          2. DOM clobbering 入門
          3. 多層級的 DOM Clobbering
          4. 再更多層級的 DOM Clobbering
          5. 透過 document 擴展攻擊面
          6. 實際案例研究：Gmail AMP4Email XSS
          7. 小結
        3. 3-3 前端的模板注入攻擊：CSTI
          1. Server Side Template Injection
          2. SSTI 的實際案例
          3. Client Side Template Injection
          4. CSTI 的實際案例
          5. AngularJS 與 CSP bypass
          6. 小結
        4. 3-4 只用 CSS 也能攻擊？ CSS injection 基礎篇
          1. 什麼是 CSS injection ？
          2. 利用 CSS 偷資料
          3. 偷 hidden input
          4. 偷 meta
          5. 偷 HackMD 的資料
          6. CSS injection 與其他漏洞的組合技
          7. 小結
        5. 3-5 CSS injection 進階篇
          1. 偷到所有字元
          2. 一次偷一個字元，太慢了吧？
          3. 偷其他東西
          4. 字體高度差異+ first-line + scrollbar
          5. 大絕招：ligature + scrollbar
          6. 防禦方式
          7. 小結
        6. 3-6 就算只有 HTML 也能攻擊？
          1. Reverse tabnabbing
          2. 透過 meta 標籤重新導向
          3. 透過 iframe 的攻擊
          4. 透過表單也能攻擊？
          5. Dangling Markup injection
          6. 小結
      4. 第 4 章 跨越限制攻擊其他網站
        1. 4-1 重中之重：Same-origin policy 與 site
          1. Origin 跟 site 到底是什麼？該怎麼區分？
          2. 細究 same origin
          3. 細究 same site
          4. Same origin 與 same site
          5. 神奇的 documentdomain
          6. 案例一：單方面改變
          7. 案例二：消失的 port
          8. 案例三：我不是原來的我
          9. documentdomain 的淡出及退場
          10. 小結
        2. 4-2 跨來源資源共用 CORS 基本介紹
          1. 為什麼不能跨來源呼叫 API ？
          2. 隨堂小測驗
          3. 跨來源 AJAX 是怎麼被擋掉的？
          4. 該如何設置 CORS ？
          5. 小結
        3. 4-3 跨來源的安全性問題
          1. CORS misconfiguration
          2. 實際案例
          3. 其他各種 COXX 系列 header
          4. 嚴重的安全漏洞：Meltdown 與 Spectre
          5. 超級簡化版的 Spectre 攻擊解釋
          6. CORB（Cross-Origin Read Blocking）
          7. CORP（Cross-Origin Resource Policy）
          8. Site Isolation
          9. COEP（Cross-Origin-Embedder-Policy）
          10. COOP（Cross-Origin-Opener-Policy）
          11. 再回到 cross-origin isolated state
          12. 小結
        4. 4-4 跨站請求偽造 CSRF 一點就通
          1. 從偷懶的刪除功能開始介紹 CSRF
          2. 使用者的防禦
          3. 伺服器的防禦
          4. 檢查 Referer 或是 Origin header
          5. 加上圖形驗證碼或是簡訊驗證碼等等
          6. 常見的防禦方式
          7. 純前端的 Double Submit Cookie
          8. 其他解法
          9. 加上 custom header
          10. 實際案例
          11. 漏洞連連看：CSRF 與 self-XSS
          12. 小結
        5. 4-5 Same-site cookie，CSRF 的救星？
          1. 初探 same-site cookie
          2. Same-site cookie 的歷史
          3. 中場休息加思考時間
          4. GET 型態的 CSRF
          5. Same-site cookie 的隱藏規則
          6. 防止 CSRF，真的只要 same-site cookie 就夠了嗎？
          7. 實際案例
          8. 小結
        6. 4-6 從 same-site 網站打進你家
          1. Subdomain takeover
          2. 獲取子網域控制權以後可以做的事
          3. 運用錯誤的安全假設
          4. Cookie tossing
          5. 小結
        7. 4-7 有趣又實用的 Cookie bomb
          1. Cookie bomb 介紹
          2. 攻擊流程
          3. 防禦方式
          4. 攻擊面擴展
          5. 找到輕易設置 cookie 的地方
          6. 實際測試
          7. 防禦方式
          8. 再看一個實際的案例
          9. Cookie bomb 的漏洞連連看
          10. 小結
      5. 第 5 章 其他有趣的前端資安主題
        1. 5-1 你的畫面不是你的畫面：Clickjacking 點擊劫持
          1. Clickjacking 攻擊原理
          2. Clickjacking 的防禦方式
          3. 防禦總結
          4. 實際案例
          5. 無法防禦的 clickjacking ？
          6. 小結
        2. 5-2 結合 MIME sniffing 發起攻擊
          1. MIME sniffing 初體驗
          2. 利用 MIME sniffing 進行攻擊
          3. 可以執行 JavaScript 的 content type
          4. 可以當成 script 載入的 content type
          5. Content type 檢查的繞過
          6. 小結
        3. 5-3 前端供應鏈攻擊：從上游攻擊下游
          1. cdnjs
          2. 解析 cdnjs 的 RCE 漏洞
          3. 身為前端工程師，該如何防禦？
          4. 小結
        4. 5-4 網頁前端攻擊在 Web3 上的應用
          1. 影響力更大的 XSS
          2. Cookie bomb 的實際應用
          3. 小結
        5. 5-5 最有趣的前端旁路攻擊：XS-Leaks
          1. 旁路攻擊，就是一種旁敲側擊
          2. XS-Leaks 實際體驗
          3. 利用狀態碼的 XS-Leaks
          4. XS-Leaks 的防禦方式
          5. 其他可以 leak 的東西
          6. 小結
        6. 5-6 XS-Leaks 的進階應用 XS-Search 與 Cache probing
          1. Cache probing
          2. Cache probing 加 error event，蹦出新滋味
          3. 實際的 Google XS-Search 案例
          4. Cache partitioning
          5. 更多 XS-Leaks
          6. 小結
      6. 第 6 章 Case study - 有趣的攻擊案例分享
        1. 6-1 差一點的 Figma XSS
        2. 6-2 繞過層層防禦：Proton Mail XSS
        3. 6-3 隱藏在 Payment 功能中的 Chrome 漏洞
        4. 6-4 從 Prototype Pollution 到 Bitrix24 XSS
        5. 6-5 PHP 底層 bug 引發的 Joomla! XSS
      7. 結語

    購買說明

    根據台灣現行法規，數位內容（ 如電子書、音樂、影片、遊戲、App ）形式之商品，不受「網購服務需提供七日鑑賞期」的限制。為維護您的權益，建議您先使用「試讀」功能後再付款購買。

    作者其他作品

    JavaScript重修就好

    MORE
    出版社簡介
    深智數位股份有限公司
    出版社作品

    ChatGPT 5.5 全能工作術：對話、圖像、資料分析到智慧體與自動化應用

    工作學習生活一手包辦：Claude Cowork 31 個超好用範例實作

    從 App 評論到商業洞察：零基礎打造 AI 評論洞察系統：從資料採集到雲端部署

    更多出版社作品
    試讀