安全工程师

一面  难，被问的要红温了20min业务+30min工作经历业务1.同源策略。 如果有需求a.x.com要访问b.x.com的接口，不同源，要怎么办2.讲讲你在浏览器输入url地址到服务器返回给你在前端展示的过程？你输入了http协议，但是最终显示的是https，这个是怎么实现的？3.Go的代码审计？具体会哪些？现场审计 shell_exec("ping -c")，存在的问题？怎么绕过？过滤了这些字符怎么绕过，IFS也过滤了呢？4.OAuth的场景，商家注册账号，设置Oauth的callback地址，服务器上存储callback地址，当发起Oauth流程后，服务器将Oauth code发送到callback地址，这个场景会有什么问题？ OAtueh劫持？劫持具体出现在那一步？怎么防护？SSRF漏洞？漏洞成因？怎么防护？ 写个SDK，判断callback地址是否合法，返回bool，讲讲思路？如何判断url地址工作经历1. 讲讲目前的工作内容？IAST是什么？和我现在静态的扫描有什么区别？具体的部署有什么考虑？做的什么开发？什么语言的？2. 以前的护网主要是攻击队嘛？3. 换工作是怎么考虑的反问

安全真的太难了二面主管面1h 0.5h技术面➕0.5h职业面在攻防演习中负责什么部分打点是手工呢还是利用什么工具让你攻击我们公司，有什么思路一个登录口要怎么渗透xss除了窃取cookie还有什么打法文件上传遇到waf要怎么绕过shiro有没有了解过？shiro是怎么修复漏洞的？key应当怎么存储？存储在内存中有什么缺陷？内网横向移动有没有遇到过获得了明文密码去横向时无法登录的情况域控怎么打获得域管后要怎么扩大权限？域控怎么控制域内主机的？什么协议什么端口？当域内主机把这个端口封了，你有域管和哈希，有什么打的思路edr绕过有没有了解java了解吗？开发语言会哪些个人职业规划如何看待团队和平台日常的兴趣爱好个人有什么不足期望薪资期望地点如果在深圳的话期望薪资是多少家庭地址如何评估你所做的工作，希望领导以什么样的方式来评估你的kpi？如果在一次攻防中，做了很长时间却没有什么漏洞结果，如何评估你所做的工作成绩？领导可能会认为你只干了苦力活什么成果都没有，你应当怎么做？漏洞越挖越少，以漏洞结果来评估是不是不太合理？长期的苦力活或者是没有获得很好的成果也就没有了正反馈，对工作感到无味，应当怎么办

终于HR面啦，第一次线下HR面，离offer越来越近了许愿顺利通过

历时将近一个月，终于结束了所有面试流程，许愿offer一面：2.20二面：2.25线下三面：3.14面完一小时收到评价链接，但还是面试中update：晚上面试已完成。快call me 快call me东哥给个机会

岗位又少，一个岗面试各种方向五花八门，甲方找不到，乙方一直亏，裁员先裁你这个没产出的。

一个offer也没有，就很难受，发个面经，攒攒人品，许愿offer懒得分开写，就都写在一起了（发布于2021.9.18） 基本情况 双非本，北邮硕无CTF经验，学了点web安全，参加过字节跳动的安全训练营平时喜欢写写博客，也有些准备的题，放在后面了 春招&实习  3月-6月 启明星辰Adlab实验室 6月-9月 阿里云 基础产品事业部 准备 简历.pdf 自我介绍.docx 面向自我介绍和简历的问题.docx 刷题 Python mysql web安全 计算机网络HR面基本都是问性格，优缺点之类的，没啥好回忆的，反问环节我一般都是问我有什么需要提升的，或者问问他们在做什么，北京有没有b...

搞安全的希望有帮助~~https://github.com/vvmdx/Sec-Interview-4-2023顺便想多了解下各大公司安全团队的业务

1.自我介绍2.面试官看我简历上写的都是 Web渗透这块的，问会测APP小程序吗？3.SQL注入是怎么形成的？4.SQL注入有哪几种类型？5.一般怎么判断这个点是否存在注入？6.例如一个搜索框有可能存在SQL注入吗？例如像一个OA系统,有一个查询的功能，比如输入一个王，会有王**、王*.......,问这个地方是否会存在SQL注入？7.SQL注入一般能getshell吗？要怎么弄？用sqlmap的话需要什么条件?比如数据库是MySQL,获得shell需要什么条件？如果有写的权限、知道网站的绝对路径，除了sqlmap还有其它能获得shell的方法吗？8.在进行SQL注入过程中，如果有WAF的话你会怎么办，不一定是***，例如各种过滤规则，输入敏感字符就不正常显示了，返回404之类的，这种情况应该怎么办?9.XSS有哪几种类型？10.XSS有什么危害？11.如果网站设置了httponly，还能获取cookie吗？如果设置了httponly,有了解过绕过方式吗？12.XXE漏洞有了解过吗？有什么危害？13.有挖过SRC吗？14.CTF有打过吗？15.编程语言这块都了解过哪些？16.了解过反序列化漏洞吗？像Java反序列化一些组件漏洞有了解过吗？17.通用的CMS漏洞有了解过吗？例如什么蓝凌OA、致远OA有听说过吗？18.扫描器这块AWVS有用过吗？19.最后反问

秋招收获：      甲方惨不忍睹：   腾讯(二面挂)   美团(三面完无限期备胎)   百度(提前批三面完排序挂)   阿里(测评挂)   字节跳动(提前批简历挂)   滴滴(一面挂)      乙方：   启明星辰(金睛团队渗透offer)   深信服(安全攻防offer)   奇安信(A-TEAM offer)      其他的还没开始面，也不太想面了      秋招历程与感受   整个秋招前期对于我来说是一个面试的过程，后期对于我来说是一个学习和总结的过程。我通过不断的面试认识到自己的不足与缺陷，同时也了解和认知到整个安全市场的人才需求和求职难度。整个秋招中，我不断地重新认知自己的技...

春招开始啦 不知道有没有小伙伴想了解一下数字马力 目前长沙 郑州都在大量招人中工资没有绩效工资，五险一金按全额发放，郑州12%公积金，每天都有餐补20，九点打车报销，但是一般不加班一般不加班，设备mbp标配，每个节日都有活动有礼品，公司氛围很不错，年终0到4个月。春招在月底开启，感兴趣的小伙伴可以先私聊我，hc下来后立马通知你！

需要准备的几个方向    简历  自我介绍  计算机网络  操作系统（操作系统原理，Linux，Windows）  数据库  算法（Leetcode）  编程语言（Python,C++,go等）  安全知识（很多很杂，建议根据自己擅长的方向和所投递的岗位进行针对性学习）   计算机知识参考CS-NOTES：http://www.cyc2018.xyz/   安全方面的可以去Github，知乎，等平台查找。牛客上也有很多！仔细找。   贴一下我自己找的一些安全面经：https://github.com/h4m5t/Sec-Interview   Python面试题：https://github....

安全圈子小，入行需谨慎！      楼主基本情况：本硕某211通信专业，非安全科班，熟人太多匿了学校哈。因为某些原因出国梦碎，从六月开始准备找工作。开发不行算法不懂，感觉产品入行门槛也很高。在不被师姐们看好的情况下决定投安全岗。研一研二有两篇水文，挂在实验室两个基金委的项目下面，申请过两个专利，有国奖。8月份找了一段完全为了填简历的实习。岗位意向是数据安全方向，其他一概不懂，地点一二线不限优先北上。个人情况就是这样。   安全圈子小，入行需谨慎！再说一遍！   找工作前在牛客看过一个前几届大佬发的贴子，首先，安全岗hc很少，一般公司和后端的比例大概是1：30，很多公司甚至不是每年都开hc。其次...

需要准备的几个方向    简历  自我介绍  计算机网络  操作系统（操作系统原理，Linux，Windows）  数据库  算法（Leetcode）  编程语言（Python,C++,go等）  安全知识（很多很杂，建议根据自己擅长的方向和所投递的岗位进行针对性学习）   计算机知识参考CS-NOTES：http://www.cyc2018.xyz/   安全方面的可以去Github，知乎，等平台查找。牛客上也有很多！仔细找。   贴一下我自己找的一些安全面经：https://github.com/h4m5t/Sec-Interview   Python面试题：https://github....