菜鸡秋招安全岗面经

秋招情况记录

大三下学期的时候自己的情况是，开发方面没有接触过什么项目，最多就是课程设计的小项目并且没有深入地研究，就是边学边用的状态，安全方面的技能也是刚入门的水平，然后大三下这整个学期的有用牛客看招聘信息和面经感觉收获太大了，在暑假找实习时不断海投，改简历，最后幸运地收获到一份实习offer，有了一份实习经历后对秋招还是很有帮助的，有一次面试时大部分时间都是问实习的内容，后来发现原来他们招的岗位和我实习的岗位匹配度90%。秋招时也是海投，本来一开始也想着弄个excel记录的，但战况不佳就没有记录了，我的情况大概是投了七八十份简历，三分之二是有笔试，笔试通过的有二分之一左右。

部分电话情况

OPPO一面

1.自己有没有尝试挖一些漏洞，如src
2.大概介绍一个自己研究过的比较厉害漏洞，如CVE、XXE
3.熟悉SSRF主要危害
4.redis常见的漏洞
5.XXE漏洞
6.用什么方式找sql注入点
7.web渗透使用的工具
8.盲注脚本
9.渗透测试流程
10.编程比赛题型
11.做过什么项目
12.对安卓有了解

快手一面

1、场景：app平台中xss留言板验证是否有xss（app上不会执行xss代码，但在审核平台上会执行，怎样测试）XSS盲打、XSS平台
2、https://www.kuaishou.com/tai/user/123456/password/123456 用sqlmap验证是否存在漏洞，有那些参数可以使用
3、docker和虚拟机的区别

美团一面

1.php文件名截断（文件上传绕过原理），%00截断哪个版本后修复
2.OSI七层和TCP四层对应关系，ftp、DNS属于那个
3.HTTPS握手过程
4.ARP欺骗原理，攻击者可以达到什么目的，
场景之前有款软件利用ARP欺骗限制内网主机网速目的，实现原理
如何防御ARP欺骗（通过配置）
5.实时操作系统和分时操作系统区别，常用的操作系统是哪一类
6.SQL注入的盲注原理，为什么参数化查询能防止SQL注入，宽字节注入原理
7.XSS蠕虫原理，DOM型XSS和一般的XSS区别
8.CSRF原理和防御方法，检验referer的值是否能防御CSRF，真实网络环境是否可以防御
9.SSRF原理和防御方法
10.sqlmap里判断网站是否有waf的原理
11.sql注入写入一句话的条件，有什么语句写，如何找网站物理路径，udf提权原理
12.数据库建索引哈希索引和B+树索引区别

图森未来一面

1.你了解的docker，docker实现原理
2.虚拟化技术kvm最近爆出的漏洞
3.怎样扫描web漏洞，常用的扫描器
4.waf和AF的区别
5.怎样对一个linux服务器进行安全加固（怎样将不需要的端口off掉）
6.ping对应的ICMP，ICMP格式
7.TCP的半开连接
8.中间人攻击，防御
9.wireshark远程抓包
10.python2和python3区别

秋招总结

1.时间点很重要，金九银十（本来学校安排了两个月的课，我也因为上课原因提前结束了实习，托福于考研的同学的反抗，课程推迟到考研结束，九十月可以专心准备）
2.打开手机电话自动通话录音，看到一个牛客师傅在帖子提过，复盘时好用（之前一直都是手动录音）
3.菜鸡觉得海投还是很有用的，到时候冲突了才做选择嘛
4.有现场面试尽量去试一下，个人感觉现场面比电面简单