CREST 這個組織與 CPSA 這張證照在網路上可以找到的中文資料極少，在台灣算是比較冷門的一張證照，我是看了這篇：ECSA v10 等效申請CREST CPSA 資安分析師證照教學 / ECSA with CPSA Equivalency Recognition Step 才對這個組織以及這張證照有基本的理解。
我在十二月跟另外一個同事去考了這張證照，都有順利考到，趁著剛考完沒多久，趕快來寫篇心得記錄一下。
CREST 這個組織與 CPSA 這張證照在網路上可以找到的中文資料極少，在台灣算是比較冷門的一張證照，我是看了這篇：ECSA v10 等效申請CREST CPSA 資安分析師證照教學 / ECSA with CPSA Equivalency Recognition Step 才對這個組織以及這張證照有基本的理解。
我在十二月跟另外一個同事去考了這張證照，都有順利考到，趁著剛考完沒多久，趕快來寫篇心得記錄一下。
這次 HITCON 2021 DEVCORE 有弄了一個 wargame 出來，說明在這邊：https://hackmd.io/@d3vc0r3/hitcon2021
上面寫著兩小時內可解完，想說就來玩玩看好了，殊不知學藝不精導致最後有個地方卡了超久，不過扣除那個地方以外，難度確實不高，這篇簡單記錄一下解題的過程跟心得。
我以前有寫過一些關於 XSS 的文章，主要在談的是實作面的防範以及防禦的各個細節：
這篇原本想寫的是 XSS 的基礎，就大家都聽過的那三種類別：Stored(Persistent)、Reflected(Non-Persistent) 以及 DOM-based XSS，但當我正要開始寫的時候，腦中突然浮現了幾個問題：「XSS 是什麼時候出現的？這三種類別又是什麼時候開始被分類的？」
因此，我花了點時間找了一些資料，這篇文章會跟大家談談 XSS 的歷史，讓我們一起更了解 XSS 的前世今生。
在許多網站中都有個很常見的功能，就是重新導向。
舉例來說，如果要觀看的頁面需要權限但是使用者還沒登入，就會先把使用者導去登入頁面，登入完之後再導回原本要去的頁面。
例如說今天有個社群網站，想要看個人檔案的話需要登入，而小明的個人檔案網址是：https://example.com/profile/ming，那我身為一個訪客，點進去之後就會跳轉到登入頁面，並且帶上我原本要去的網址當作參數：https://example.com/login?redirect=https://example.com/profile/ming
登入成功之後，網站就會根據 redirect 的值，把我導去原本要前往的頁面。
雖然看起來是個小功能，但其實背後有不少安全性的問題要考慮。
在針對前端的各種攻擊手法之中，我覺得 clickjacking 是相當有趣的一個。它的中文翻譯通常翻成「點擊劫持」，實際上的意思是你以為點了 A 網頁的東西，其實卻是點到了 B 網頁，惡意網頁劫持了使用者的點擊，讓使用者點到意料之外的地方。
只是一個點擊而已，這樣會有什麼危害嗎？
假設在背後的是一個銀行轉帳頁面，而且帳號跟金額都填好了，只要按一個按鈕就會轉錢出去，這樣的話危害就很大了（不過這通常不太可能啦，因為轉帳還需要輸入 OTP 之類的，這只是舉例）。
或是舉個更常見的例子，例如說有個乍看之下是取消訂閱電子報的頁面，於是你點了「確定取消」的按鈕，但其實底下藏著的是 Facebook 的按讚鈕，所以你不但沒有取消訂閱，還被騙了一個讚（因為劫持的目標是讚，所以又稱為 likejacking）。
這篇文章我會介紹 clickjacking 的攻擊原理、防禦方式以及實際案例，讓大家更了解這個攻擊手法。
Intigriti 這個網站每個月都會有 XSS 挑戰，給你一週的時間去解一道 XSS 的題目，目標是成功執行 alert(document.domain)。
身為一個前端資安混血工程師，我每個月都有參加（但不一定有解出來），底下是前幾個月的筆記：
每個月的挑戰都相當有趣，我覺得難易度也掌握得不錯，沒有到超級無敵難，但也不會輕易到一下就被解開。而這個月的挑戰我也覺得很好玩，因此在解開之後寫了這篇心得跟大家分享，期待有越來越多人可以一起參與。