安全工程师

一面  难，被问的要红温了20min业务+30min工作经历业务1.同源策略。 如果有需求a.x.com要访问b.x.com的接口，不同源，要怎么办2.讲讲你在浏览器输入url地址到服务器返回给你在前端展示的过程？你输入了http协议，但是最终显示的是https，这个是怎么实现的？3.Go的代码审计？具体会哪些？现场审计 shell_exec("ping -c")，存在的问题？怎么绕过？过滤了这些字符怎么绕过，IFS也过滤了呢？4.OAuth的场景，商家注册账号，设置Oauth的callback地址，服务器上存储callback地址，当发起Oauth流程后，服务器将Oauth code发送到callback地址，这个场景会有什么问题？ OAtueh劫持？劫持具体出现在那一步？怎么防护？SSRF漏洞？漏洞成因？怎么防护？ 写个SDK，判断callback地址是否合法，返回bool，讲讲思路？如何判断url地址工作经历1. 讲讲目前的工作内容？IAST是什么？和我现在静态的扫描有什么区别？具体的部署有什么考虑？做的什么开发？什么语言的？2. 以前的护网主要是攻击队嘛？3. 换工作是怎么考虑的反问

终于HR面啦，第一次线下HR面，离offer越来越近了许愿顺利通过

历经一个月，我收到了OC电话今晚OC了，HR说在审批offer，春招应该就告一段落了。但并没有想象中开心，一阵欣喜之后反而感觉很有压力，自身还是存在许多不足的。最后再次感谢面试官把我从池子里捞出来，并且帮助我推进流程，可以说是我的伯乐面试官了。希望未来一切都如想象中顺利。已签约人生本艰苦，需砥砺前行。

历时将近一个月，终于结束了所有面试流程，许愿offer一面：2.20二面：2.25线下三面：3.14面完一小时收到评价链接，但还是面试中update：晚上面试已完成。快call me 快call me东哥给个机会

搞安全的希望有帮助~~https://github.com/vvmdx/Sec-Interview-4-2023顺便想多了解下各大公司安全团队的业务

岗位又少，一个岗面试各种方向五花八门，甲方找不到，乙方一直亏，裁员先裁你这个没产出的。

1.自我介绍2.面试官看我简历上写的都是 Web渗透这块的，问会测APP小程序吗？3.SQL注入是怎么形成的？4.SQL注入有哪几种类型？5.一般怎么判断这个点是否存在注入？6.例如一个搜索框有可能存在SQL注入吗？例如像一个OA系统,有一个查询的功能，比如输入一个王，会有王**、王*.......,问这个地方是否会存在SQL注入？7.SQL注入一般能getshell吗？要怎么弄？用sqlmap的话需要什么条件?比如数据库是MySQL,获得shell需要什么条件？如果有写的权限、知道网站的绝对路径，除了sqlmap还有其它能获得shell的方法吗？8.在进行SQL注入过程中，如果有WAF的话你会怎么办，不一定是***，例如各种过滤规则，输入敏感字符就不正常显示了，返回404之类的，这种情况应该怎么办?9.XSS有哪几种类型？10.XSS有什么危害？11.如果网站设置了httponly，还能获取cookie吗？如果设置了httponly,有了解过绕过方式吗？12.XXE漏洞有了解过吗？有什么危害？13.有挖过SRC吗？14.CTF有打过吗？15.编程语言这块都了解过哪些？16.了解过反序列化漏洞吗？像Java反序列化一些组件漏洞有了解过吗？17.通用的CMS漏洞有了解过吗？例如什么蓝凌OA、致远OA有听说过吗？18.扫描器这块AWVS有用过吗？19.最后反问

一个offer也没有，就很难受，发个面经，攒攒人品，许愿offer懒得分开写，就都写在一起了（发布于2021.9.18） 基本情况 双非本，北邮硕无CTF经验，学了点web安全，参加过字节跳动的安全训练营平时喜欢写写博客，也有些准备的题，放在后面了 春招&实习  3月-6月 启明星辰Adlab实验室 6月-9月 阿里云 基础产品事业部 准备 简历.pdf 自我介绍.docx 面向自我介绍和简历的问题.docx 刷题 Python mysql web安全 计算机网络HR面基本都是问性格，优缺点之类的，没啥好回忆的，反问环节我一般都是问我有什么需要提升的，或者问问他们在做什么，北京有没有b...

想问问目前的工作的安全佬们，本硕重大的，一直是安全相关，但是没打过CTF，目前仅有专利一个和论文在投。因为研究方向的原因，搞过一段时间的移动安全，感觉安全不好找，但是怎么说呢，安全就像我的白月光，想知道各位佬有没有什么建议，因为现在其实也在学开发的东西。

💼 公司岗位招安全工程师和实习生工作职责在这里，你可以负责公司产品的安全测试和安全评估，研发公司的安全产品，成为58安全小卫士； 在这里，你可以参与制定、推广安全规范和流程，负责安全管理体系的建设和优化； 在这里，你可以跟踪安全社区动态，研究安全攻防技术，对安全事件进行应急响应。任职资格只要你，熟悉常见的应用程序漏洞、操作系统等漏洞，了解web漏洞挖掘方法； 只要你，熟悉Linux的系统管理、安全管理，相关服务和应用的配置管理、安全加固，熟悉shell编程； 只要你，熟悉网络基本原理，熟悉网络安全知识，了解防火墙原理，NAT、访问控制，VPN，IDS等； 只要你，熟悉常见安全攻防技术，精通渗透测试，熟悉各种渗透测试工具； 只要你，熟练掌握/php/java/python/shell等1至2种语言； 只要你，熟悉ISO27000、CC、等级保护等安全标准，了解安全审计相关知识； 只要你，有良好的团队协作精神，对工作充满热情，富有责任心，能承受一定强度的工作压力。 Come On，下一个“安全专家”就是你！投递方式https://campus.58.com/campus/detail?jobAdId=4314258c-b11b-4fbd-ac26-5b47b10047c4https://campus.58.com/campus/detail?jobAdId=fa20ef8c-,-4ee2-9ae2-b24b861da229

秋招收获：      甲方惨不忍睹：   腾讯(二面挂)   美团(三面完无限期备胎)   百度(提前批三面完排序挂)   阿里(测评挂)   字节跳动(提前批简历挂)   滴滴(一面挂)      乙方：   启明星辰(金睛团队渗透offer)   深信服(安全攻防offer)   奇安信(A-TEAM offer)      其他的还没开始面，也不太想面了      秋招历程与感受   整个秋招前期对于我来说是一个面试的过程，后期对于我来说是一个学习和总结的过程。我通过不断的面试认识到自己的不足与缺陷，同时也了解和认知到整个安全市场的人才需求和求职难度。整个秋招中，我不断地重新认知自己的技...

甲方好多在简历初筛都挂了，还有今年乙方这薪资是认真的吗？？？想跳了都😭

春招开始啦 不知道有没有小伙伴想了解一下数字马力 目前长沙 郑州都在大量招人中工资没有绩效工资，五险一金按全额发放，郑州12%公积金，每天都有餐补20，九点打车报销，但是一般不加班一般不加班，设备mbp标配，每个节日都有活动有礼品，公司氛围很不错，年终0到4个月。春招在月底开启，感兴趣的小伙伴可以先私聊我，hc下来后立马通知你！