- 0x01、面试问题
0.先做个简单的自我介绍吧
1.php中命令执行、代码执行相关的函数有哪些?分别讲一讲
2.sql注入的原理、分类?
3.sql注入的绕过?简单讲一些
4.ssrf了解吗?能造成哪些危害?对应的用到的协议有哪些?
5.提权了解吗?讲一讲Windows环境下和Linux环境下你的一些提权思路吧?
6.假如现在我们已经进入了后台,想利用XSS做一下持久化,你有什么思路吗?
7.假如现在给你一个登录框,输入错误密码会显示密码错误或者用户不存在,你有什么利用思路?
8.假如现在给你一个web网站,讲讲你觉得能获取shell的方式?
9.有了解过WAF吗?说说你的一些测试、绕过思路?
10.我看你在这之前有一段实习经历,讲一讲这里面你主要负责什么?
11.有自己写过什么武器吗?简单讲一讲
12.你对哪些语言较为熟悉?为什么会涉及?
13.有挖过src吗?有没有排名或者证书什么的?
14.看你简历上有做过一些代码审计是吧?能讲讲你审计的思路吗?
15.我们公司主要做APP安全这一块,你对这一块感兴趣吗?有了解吗?
16.当然我们也有红队渗透这一块的业务,讲一讲你未来的职业规划?
17.你有什么想要问我们的吗?(学习成长环境、校内事务请假、学习建议......)
18.代码审计和开发这一块一定要重视,它决定了你的职业上限。
- 0x02、思考*
面试官很有耐心,也很温柔。问题都是基于提供的简历来进行提问。
总的来说,全部的流程走下来,最大的感受就是,在面向就业方面,实践、实际的渗透经验真的很重要。他的问题,无论是问SRC经历,或者问绕WAF思路,自己写武器的经历,或者又给出假设情况问你的思路,无一不是立足于“真实经验”与“动手能力”两个方面。而这,也正是我需要反思的地方,在之前的学习过程中犯了一个逻辑性的错误:即这样的技术性岗位需求的能力的学习逻辑绝不应当是:完全掌握理论在先,实际动手在后。因为这样没有实践支撑的理论学习,其实是很难达到说完全掌握的程度,也就导致这“先-后”的逻辑无法贯通。而真正的应该采取的逻辑是:理论与实践螺旋演进,学到一点理论,马上到实践中去验证;实践验证中可能又会遇到新的理论问题同时加深理论的理解,又回头来补理论,二者相互依托,相互促进。动手!动手!动手!绝知此事要躬行,实践出真知!加油!
posted @
2023-02-27 18:44
海屿-uf9n1x
阅读(
22)
评论()
编辑
收藏
举报