安全工程师

历经一个月，我收到了OC电话今晚OC了，HR说在审批offer，春招应该就告一段落了。但并没有想象中开心，一阵欣喜之后反而感觉很有压力，自身还是存在许多不足的。最后再次感谢面试官把我从池子里捞出来，并且帮助我推进流程，可以说是我的伯乐面试官了。希望未来一切都如想象中顺利。已签约人生本艰苦，需砥砺前行。            

一面  难，被问的要红温了20min业务+30min工作经历业务1.同源策略。 如果有需求a.x.com要访问b.x.com的接口，不同源，要怎么办2.讲讲你在浏览器输入url地址到服务器返回给你在前端展示的过程？你输入了http协议，但是最终显示的是https，这个是怎么实现的？3.Go的代码审计？具体会哪些？现场审计 shell_exec("ping -c")，存在的问题？怎么绕过？过滤了这些字符怎么绕过，IFS也过滤了呢？4.OAuth的场景，商家注册账号，设置Oauth的callback地址，服务器上存储callback地址，当发起Oauth流程后，服务器将Oauth code发送到callback地址，这个场景会有什么问题？ OAtueh劫持？劫持具体出现在那一步？怎么防护？SSRF漏洞？漏洞成因？怎么防护？ 写个SDK，判断callback地址是否合法，返回bool，讲讲思路？如何判断url地址工作经历1. 讲讲目前的工作内容？IAST是什么？和我现在静态的扫描有什么区别？具体的部署有什么考虑？做的什么开发？什么语言的？2. 以前的护网主要是攻击队嘛？3. 换工作是怎么考虑的反问     

安全真的太难了二面主管面1h 0.5h技术面➕0.5h职业面在攻防演习中负责什么部分打点是手工呢还是利用什么工具让你攻击我们公司，有什么思路一个登录口要怎么渗透xss除了窃取cookie还有什么打法文件上传遇到waf要怎么绕过shiro有没有了解过？shiro是怎么修复漏洞的？key应当怎么存储？存储在内存中有什么缺陷？内网横向移动有没有遇到过获得了明文密码去横向时无法登录的情况域控怎么打获得域管后要怎么扩大权限？域控怎么控制域内主机的？什么协议什么端口？当域内主机把这个端口封了，你有域管和哈希，有什么打的思路edr绕过有没有了解java了解吗？开发语言会哪些个人职业规划如何看待团队和平台日常的兴趣爱好个人有什么不足期望薪资期望地点如果在深圳的话期望薪资是多少家庭地址如何评估你所做的工作，希望领导以什么样的方式来评估你的kpi？如果在一次攻防中，做了很长时间却没有什么漏洞结果，如何评估你所做的工作成绩？领导可能会认为你只干了苦力活什么成果都没有，你应当怎么做？漏洞越挖越少，以漏洞结果来评估是不是不太合理？长期的苦力活或者是没有获得很好的成果也就没有了正反馈，对工作感到无味，应当怎么办        

历时将近一个月，终于结束了所有面试流程，许愿offer一面：2.20二面：2.25线下三面：3.14面完一小时收到评价链接，但还是面试中update：晚上面试已完成。快call me 快call me东哥给个机会         

岗位又少，一个岗面试各种方向五花八门，甲方找不到，乙方一直亏，裁员先裁你这个没产出的。   

从 3月初面试到现在，开出了几个 offer 和比较有希望的面试。请 uu 们帮忙选选。楼主 bg 双 9 信安专业。找实习的过程中安全和 Java 开发两手抓（两头软😭）。安全主要是读研科研中涉及程序分析和挖洞的工作。开发是拿之前大创的时候做的学生社区项目和一段日常实习去应对1️⃣ pdd： base 上海。已 offer 。安全岗做逆向分析，程序分析。 2️⃣ vivo： base 北京。已 offer 。安全算法，要求转大模型安全。感觉面试异常轻松，心理没底。3️⃣ aliyun： base 杭州。已约二面。java 开发偏向安开，涉及安全认证、稳定性等等。其他大部分是因为项目不行或者业务不对口一面凉了。

        搞安全的希望有帮助~~https://github.com/vvmdx/Sec-Interview-4-2023顺便想多了解下各大公司安全团队的业务

一个offer也没有，就很难受，发个面经，攒攒人品，许愿offer懒得分开写，就都写在一起了（发布于2021.9.18） 基本情况 双非本，北邮硕无CTF经验，学了点web安全，参加过字节跳动的安全训练营平时喜欢写写博客，也有些准备的题，放在后面了 春招&实习  3月-6月 启明星辰Adlab实验室 6月-9月 阿里云 基础产品事业部 准备 简历.pdf 自我介绍.docx 面向自我介绍和简历的问题.docx 刷题 Python mysql web安全 计算机网络HR面基本都是问性格，优缺点之类的，没啥好回忆的，反问环节我一般都是问我有什么需要提升的，或者问问他们在做什么，北京有没有b...

1.自我介绍2.面试官看我简历上写的都是 Web渗透这块的，问会测APP小程序吗？  3.SQL注入是怎么形成的？4.SQL注入有哪几种类型？5.一般怎么判断这个点是否存在注入？6.例如一个搜索框有可能存在SQL注入吗？例如像一个OA系统,有一个查询的功能，比如输入一个王，会有王**、王*.......,问这个地方是否会存在SQL注入？7.SQL注入一般能getshell吗？要怎么弄？用sqlmap的话需要什么条件?比如数据库是MySQL,获得shell需要什么条件？如果有写的权限、知道网站的绝对路径，除了sqlmap还有其它能获得shell的方法吗？8.在进行SQL注入过程中，如果有WAF的话你会怎么办，不一定是***，例如各种过滤规则，输入敏感字符就不正常显示了，返回404之类的，这种情况应该怎么办?9.XSS有哪几种类型？10.XSS有什么危害？11.如果网站设置了httponly，还能获取cookie吗？如果设置了httponly,有了解过绕过方式吗？12.XXE漏洞有了解过吗？有什么危害？13.有挖过SRC吗？14.CTF有打过吗？15.编程语言这块都了解过哪些？16.了解过反序列化漏洞吗？像Java反序列化一些组件漏洞有了解过吗？17.通用的CMS漏洞有了解过吗？例如什么蓝凌OA、致远OA有听说过吗？18.扫描器这块AWVS有用过吗？19.最后反问

26安全暑期实习，自己秋招想的是去央国企躺平，想看看uu们的意见

秋招收获：      甲方惨不忍睹：   腾讯(二面挂)   美团(三面完无限期备胎)   百度(提前批三面完排序挂)   阿里(测评挂)   字节跳动(提前批简历挂)   滴滴(一面挂)      乙方：   启明星辰(金睛团队渗透offer)   深信服(安全攻防offer)   奇安信(A-TEAM offer)      其他的还没开始面，也不太想面了      秋招历程与感受   整个秋招前期对于我来说是一个面试的过程，后期对于我来说是一个学习和总结的过程。我通过不断的面试认识到自己的不足与缺陷，同时也了解和认知到整个安全市场的人才需求和求职难度。整个秋招中，我不断地重新认知自己的技...

春招开始啦 不知道有没有小伙伴想了解一下数字马力 目前长沙 郑州都在大量招人中 工资没有绩效工资，五险一金按全额发放，郑州12%公积金，每天都有餐补20，九点打车报销，但是一般不加班一般不加班，设备mbp标配，每个节日都有活动有礼品，公司氛围很不错，年终0到4个月。春招在月底开启，感兴趣的小伙伴可以先私聊我，hc下来后立马通知你！          

意外被捞，二面顺利完成，许愿HR面🙏。很愉快面试氛围🥳