网络安全

想进甲方安全运营或者信安工程师岗 不想去乙方 不求互联网大厂 有一定名头就行  求各路大神简历修改意见或者面经指导 感恩

一面  难，被问的要红温了20min业务+30min工作经历业务1.同源策略。 如果有需求a.x.com要访问b.x.com的接口，不同源，要怎么办2.讲讲你在浏览器输入url地址到服务器返回给你在前端展示的过程？你输入了http协议，但是最终显示的是https，这个是怎么实现的？3.Go的代码审计？具体会哪些？现场审计 shell_exec("ping -c")，存在的问题？怎么绕过？过滤了这些字符怎么绕过，IFS也过滤了呢？4.OAuth的场景，商家注册账号，设置Oauth的callback地址，服务器上存储callback地址，当发起Oauth流程后，服务器将Oauth code发送到callback地址，这个场景会有什么问题？ OAtueh劫持？劫持具体出现在那一步？怎么防护？SSRF漏洞？漏洞成因？怎么防护？ 写个SDK，判断callback地址是否合法，返回bool，讲讲思路？如何判断url地址工作经历1. 讲讲目前的工作内容？IAST是什么？和我现在静态的扫描有什么区别？具体的部署有什么考虑？做的什么开发？什么语言的？2. 以前的护网主要是攻击队嘛？3. 换工作是怎么考虑的反问

安全真的太难了二面主管面1h 0.5h技术面➕0.5h职业面在攻防演习中负责什么部分打点是手工呢还是利用什么工具让你攻击我们公司，有什么思路一个登录口要怎么渗透xss除了窃取cookie还有什么打法文件上传遇到waf要怎么绕过shiro有没有了解过？shiro是怎么修复漏洞的？key应当怎么存储？存储在内存中有什么缺陷？内网横向移动有没有遇到过获得了明文密码去横向时无法登录的情况域控怎么打获得域管后要怎么扩大权限？域控怎么控制域内主机的？什么协议什么端口？当域内主机把这个端口封了，你有域管和哈希，有什么打的思路edr绕过有没有了解java了解吗？开发语言会哪些个人职业规划如何看待团队和平台日常的兴趣爱好个人有什么不足期望薪资期望地点如果在深圳的话期望薪资是多少家庭地址如何评估你所做的工作，希望领导以什么样的方式来评估你的kpi？如果在一次攻防中，做了很长时间却没有什么漏洞结果，如何评估你所做的工作成绩？领导可能会认为你只干了苦力活什么成果都没有，你应当怎么做？漏洞越挖越少，以漏洞结果来评估是不是不太合理？长期的苦力活或者是没有获得很好的成果也就没有了正反馈，对工作感到无味，应当怎么办

2022届秋招，面试30余家公司安全岗，呕心沥血总结面经   本人本硕安全专业，了解web安全和内网渗透，从7月1日奇安信第一个面试开启了秋招旅程，8月整月都在面试中，9月已躺平，不过还是有面一些补录，更新一下。现分享本人面经，给安全圈的求职者一些参考，大部分问题自己有搜索相关答案参考，若无可自行搜索了解。最后，也希望大家在安全职业发展上给我一些建议。       10.12 阿里 安全工程师 10.22 二面   web安全 ，合规。一面问web，二面问内网。    1、跨域相关的内容   jsonp：如何实现跨域带第三方cookie？   跨域资源共享CORS   Ajx跨域请求ACCES...

二本计算机毕业，毕业之后在一家网安小公司实习后转正至今，工作内容是数据安全，主要是做北京炼石的加密产品实施，独立负责过政府类的数据加密实施项目，目前在一个大企驻场，薪资大概月均7-8k；由于工资和工作强度不匹配，还要异地出差，所以想跳槽，想去大一点的平台，福利待遇好一点也比较稳定，但是又不敢裸辞，准备骑驴找马，上boss上面求职感觉自己的经历和其他公司的数据安全工程师不太符合TT，我们公司的数据安全内容太狭窄，投了简历也被已读不回，求大佬们指点一下我应该怎么提升，怎么成功跳槽，我现在也有在准备考CISP-DSG，4月考试

有没有真正正在寻找实习或已经实习的网络安全的友友说一下就业的情况呀？我是双非 之前有学过前端的基础 现在准备转网安了🤯

贴一下我自己找的一些安全面经：https://github.com/h4m5t/Sec-Interview         技术面试问题     CTF     说一个印象深刻的CTF的题目     sql二次注入      Python     爬虫模块、框架、反爬虫机制（IP->代理池、验证码破解、UA）    并发(多线程、线程池、协程、三个程之间的区别)    常用的标准库    DJANGO和FLASK区别和使用    ORM    python安全工具编写/源码阅读    证明能力     密码学     RSA    DES    AES    国内SM系列     风险评...