ブラウザハック

この本について

仕事でセキュリティまわりを触るたびに、「ブラウザって結局どこまで信用していいのか」「WAFをすり抜ける攻撃ってどう成立してるんだろう」といったモヤモヤが消えずに残ることがあります。危険なことをしたいわけじゃなくて、仕組みをちゃんと理解してないまま防御だけ積んでいる感じが気持ち悪い、みたいなやつです。 『ブラウザハック』は、その“分かったつもり”の部分を静かにほぐしてくれました。読者が抜き出していた箇所にも出ていますが、ペイロードを文字コードに包んで検知を避ける手法って、攻撃そのものより「なぜそれで通ってしまうのか」を理解することで、こちらの設計の盲点が見えてきます。また、SOPがどんな条件で働くのかが丁寧に示されていて、特にスキームやポートまで含めて“どこまでが同じ世界として扱われるのか”が腑に落ちるあたりは、日常的にWebアプリを触っている人ほど発見があるはずです。さらに、WebWorkerの並列数や遅延の扱いのように、ふだん深く意識していなかったブラウザ内部の振る舞いにも視点が向きます。 実務の中で「防御を固めたいのに、そもそもの前提がふわっとしている気がする…」という人には特に刺さると思います。攻撃コードを真似するための本ではなく、ブラウザという土台がどう動き、どこが弱点になり得るのかを落ち着いて理解したい人にちょうどいい距離感の一冊でした。