2024-08-13 21:52 西北大学 安全工程师 发布于上海
关注
字节一面(已凉)-渗透测试工程师
#面经#暂时想到这么多
1. 说一下你是怎么自学安全的
2. 同源策略了解吗?跨域请求的方式有哪些
3. CORS漏洞原理,修复方式
4. JSONP劫持原理,修复方式
5. CSRF了解吗,修复的方式
6. 浏览器保护cookie的方法
7. XSS的漏洞原理,分类,危害,修复方案
8. 实体化,有些情况下不能实体化怎么修复
9. csp了解吗
10. ssrf了解吗,怎么利用,有哪些协议可以利用,怎么防护,dns重绑定怎么修复
11. oauth2了解吗,有哪些挖掘的点
12. http://example.com?id=1,你的注入思路?报错注入的函数有哪些,怎么判断数据库类型,查看数据库版本
13. 应急响应的流程,你会做什么?
14. 讲一下你挖掘src的一些思路,怎么修复这些漏洞
15. 你会代码审计吗,讲一下你的审计思路
16. 你挖到过哪些逻辑漏洞,怎么修复
代码场景题:目录扫描时,遇到302和200,怎么排除一些误报(大概这个意思,就是说status为200,但是其实body是那种invaild path的情况)
复盘:
1. 修复方式答得不太好,csrf把csrf_token给忘了...,dns重绑定修复也没答上来(设置ttl长一点,防止dns解析和实际请求时ip不一致)
2. oauth2当时没反应上来是什么场景,面试官直接给我跳过了,简单理解为sso,可能有url开放重定向,以及重定向导致ticket劫持
3. 应急响应说的一塌糊涂,因为我真的只会grep 和awk提取ip和看日志
4. 代码审计思路很一般,因为我代审真的很一般
5. 代码场景题,答得太拉了,答完才想起来一个思路:参考dirsearch,先请求一个随机uuid的目录,根据这个请求的状态码和body,来判断相同请求结果是否有效,我当时搁那一个瞎扯啊
6. 眼睛不停的在面试官和摄像头之间转,下次一定得全屏
7. 还是菜
1. 说一下你是怎么自学安全的
2. 同源策略了解吗?跨域请求的方式有哪些
3. CORS漏洞原理,修复方式
4. JSONP劫持原理,修复方式
5. CSRF了解吗,修复的方式
6. 浏览器保护cookie的方法
7. XSS的漏洞原理,分类,危害,修复方案
8. 实体化,有些情况下不能实体化怎么修复
9. csp了解吗
10. ssrf了解吗,怎么利用,有哪些协议可以利用,怎么防护,dns重绑定怎么修复
11. oauth2了解吗,有哪些挖掘的点
12. http://example.com?id=1,你的注入思路?报错注入的函数有哪些,怎么判断数据库类型,查看数据库版本
13. 应急响应的流程,你会做什么?
14. 讲一下你挖掘src的一些思路,怎么修复这些漏洞
15. 你会代码审计吗,讲一下你的审计思路
16. 你挖到过哪些逻辑漏洞,怎么修复
代码场景题:目录扫描时,遇到302和200,怎么排除一些误报(大概这个意思,就是说status为200,但是其实body是那种invaild path的情况)
复盘:
1. 修复方式答得不太好,csrf把csrf_token给忘了...,dns重绑定修复也没答上来(设置ttl长一点,防止dns解析和实际请求时ip不一致)
2. oauth2当时没反应上来是什么场景,面试官直接给我跳过了,简单理解为sso,可能有url开放重定向,以及重定向导致ticket劫持
3. 应急响应说的一塌糊涂,因为我真的只会grep 和awk提取ip和看日志
4. 代码审计思路很一般,因为我代审真的很一般
5. 代码场景题,答得太拉了,答完才想起来一个思路:参考dirsearch,先请求一个随机uuid的目录,根据这个请求的状态码和body,来判断相同请求结果是否有效,我当时搁那一个瞎扯啊
6. 眼睛不停的在面试官和摄像头之间转,下次一定得全屏
7. 还是菜
全部评论
超级虾孝子
杭州电子科技大学 网络安全
oauth补充一下除了重定向一般最常见的就是用csrf和xss两种方式来实现code劫持
Hungs
西北民族大学 网络安全
为什么你问的那么简单
ljj666
成都东软学院 网络安全
已经找到了吗？
Xs1KVer0A
蚌埠坦克学院 网络安全
还行，挺常规的甲方面试题，没什么难点和深入的点，但是是平时会缺漏的点，不好好准备大概率就是寄😂建议好好准备，然后想想一些安全场景，甲方基本就面这些还有基础渗透结合特定场景下的题
s4mmy
门头沟学院 安全工程师
感谢佬分享
p0taku
蚌埠学院 安全工程师
有手撕吗佬？
相关推荐
搜狐畅游公司福利 901人发布 2024-12-29 11:08
湖南工业大学 Java 
程序员牛肉：简历没什么大问题了。
而且不要再换项目了。三月份就开暑期实习了，现在都一月份了。实在来不及重新开一下项目了。把一个项目写完或许很快，但是把一个项目搞懂吃透并不简单。所以不要换项目了，把你简历上面的两个项目好好挖一挖吧。
具体 体现在：你能不能流利的说出你的项目的每一个功能点代码实现？你能不能说出在这块除了A技术之外，还有其他技术能够实现嘛？如果有其他技术能够实现，那你这块为什么选择了你当前用的这个技术？
投递牛客等公司10个岗位 点赞 评论 收藏
分享
不愿透露姓名的神秘牛友
02-12 17:21
查看8道真题和解析 点赞 评论 收藏
分享