作者簡介

胡立(Huli)

　　* 技術部落格Huli's blog站長，你或許不記得他是誰，但很可能看過他的文章

• 第 1 章 從 XSS 開始談前端資安(第1-1頁)
  • 1-1 瀏覽器的安全模型(第1-2頁)
  • 1-2 前端資安還是得從 XSS 開始談起才對味(第1-13頁)
  • 1-3 再多了解 XSS 一點點(第1-20頁)
  • 1-4 危險的 javascript: 偽協議(第1-27頁)
• 第 2 章 XSS 的防禦方式以及繞過手法(第2-1頁)
  • 2-1 XSS 的第一道防線：Sanitization(第2-1頁)
  • 2-2 XSS 的第二道防線：CSP(第2-14頁)
  • 2-3 XSS 的第三道防線：降低影響範圍(第2-29頁)
  • 2-4 最新的 XSS 防禦：Trusted Types 與內建的 Sanitizer API(第2-40頁)
  • 2-5 繞過你的防禦：常見的 CSP bypass(第2-46頁)
  • 2-6 繞過你的防禦：Mutation XSS(第2-57頁)
  • 2-7 最強的 XSS：Universal XSS(第2-68頁)
• 第 3 章 不直接執行 JavaScript 的攻擊手法(第3-1頁)
  • 3-1 利用原型鏈的攻擊方式：Prototype Pollution(第3-5頁)
  • 3-2 HTML 也可以影響JavaScript？DOM clobbering 介紹(第3-27頁)
  • 3-3 前端的模板注入攻擊：CSTI(第3-43頁)
  • 3-4 只用 CSS 也能攻擊？CSS injection 基礎篇(第3-56頁)
  • 3-5 CSS injection 進階篇(第3-71頁)
  • 3-6 就算只有 HTML 也能攻擊？(第3-89頁)
• 第 4 章 跨越限制攻擊其他網站(第4-1頁)
  • 4-1 重中之重：Same-origin policy 與 site(第4-2頁)
  • 4-2 跨來源資源共用 CORS 基本介紹(第4-18頁)
  • 4-3 跨來源的安全性問題(第4-29頁)
  • 4-4 跨站請求偽造 CSRF 一點就通(第4-49頁)
  • 4-5 Same-site cookie，CSRF 的救星？(第4-63頁)
  • 4-6 從 same-site 網站打進你家(第4-72頁)
  • 4-7 有趣又實用的 Cookie bomb(第4-79頁)
• 第 5 章 其他有趣的前端資安主題(第5-1頁)
  • 5-1 你的畫面不是你的畫面：Clickjacking 點擊劫持(第5-1頁)
  • 5-2 結合 MIME sniffing 發起攻擊(第5-13頁)
  • 5-3 前端供應鏈攻擊：從上游攻擊下游(第5-26頁)
  • 5-4 網頁前端攻擊在 Web3 上的應用(第5-35頁)
  • 5-5 最有趣的前端旁路攻擊：XS-Leaks(第5-39頁)
  • 5-6 XS-Leaks 的進階應用 XS-Search 與 Cache probing(第5-50頁)
第 6 章 Case study - 有趣的攻擊案例分享(第6-1頁)
• 6-1 差一點的 Figma XSS(第6-1頁)
• 6-2 繞過層層防禦：Proton Mail XSS(第6-5頁)
• 6-3 隱藏在 Payment 功能中的 Chrome 漏洞(第6-14頁)
• 6-4 從 Prototype Pollution 到 Bitrix24 XSS(第6-22頁)
• 6-5 PHP 底層 bug 引發的 Joomla！XSS(第6-26頁)
結語(第6-31頁)