信息安全

安全真的太难了二面主管面1h 0.5h技术面➕0.5h职业面在攻防演习中负责什么部分打点是手工呢还是利用什么工具让你攻击我们公司，有什么思路一个登录口要怎么渗透xss除了窃取cookie还有什么打法文件上传遇到waf要怎么绕过shiro有没有了解过？shiro是怎么修复漏洞的？key应当怎么存储？存储在内存中有什么缺陷？内网横向移动有没有遇到过获得了明文密码去横向时无法登录的情况域控怎么打获得域管后要怎么扩大权限？域控怎么控制域内主机的？什么协议什么端口？当域内主机把这个端口封了，你有域管和哈希，有什么打的思路edr绕过有没有了解java了解吗？开发语言会哪些个人职业规划如何看待团队和平台日常的兴趣爱好个人有什么不足期望薪资期望地点如果在深圳的话期望薪资是多少家庭地址如何评估你所做的工作，希望领导以什么样的方式来评估你的kpi？如果在一次攻防中，做了很长时间却没有什么漏洞结果，如何评估你所做的工作成绩？领导可能会认为你只干了苦力活什么成果都没有，你应当怎么做？漏洞越挖越少，以漏洞结果来评估是不是不太合理？长期的苦力活或者是没有获得很好的成果也就没有了正反馈，对工作感到无味，应当怎么办

具体公司先不透露一面1h看你攻防做的比较多，具体都是什么角色负责哪一部分怎么快速打域控除了那些cve还有弱口令之外，有什么方法可以打内网怎么信息搜集给你个内网个人pc，你要怎么做信息搜集如果你是个域内普通用户，怎么打域控简单地说，内网你怎么提权如果补丁都打全了，怎么提权windows怎么提权mysql udf原理是什么mysql权限低，没法通过udf提权，要怎么打win环境呢？给你一台win的mysql服务，没有web环境，怎么获得服务器权限owasp top10哪些漏洞比较了解的xss富文本编辑器有什么防御措施？CSP有什么具体的配置策略？你说转义要转义什么？转义了如果渲染到前端出错了怎么办？想想富文本编辑器的情况下xss是怎么触发的？所以该怎么防护？黑名单还是白名单防护？标签<  a   >呢怎么防护？综合来看还是白名单好sql注入有什么防护手段？为什么orderby不适合预编译？有什么解决方案反序列化了解吗？shiro fastjson那些？具体讲讲shiro相关的呢？原理是什么？如果shiro版本确认有漏洞，但是你爆破不出密钥，要怎么打？我看你简历上有wordpress的漏洞，具体讲讲？wordpress添加插件这功能有什么方案可以保证插件来自于官方而非用户恶意上传简历上有提到这个全量测试，具体讲讲？在企业中，sql跟rce这些漏洞比较少见，对于其他的逻辑相关的有什么经历嘛？对于一个系统，你应该怎么去测试？你要如何保证你测试的全面SSRF了解过吗？云环境下的SSRF有什么可利用的嘛？可以了解下元数据，ssrf可以直接读取云环境的元数据如密钥配置等做过免杀嘛？展开讲讲

回想学习网络安全一年来，踩了不少坑走了不少弯路，在此稍作总结，希望可以帮助那些想要入门 web 安全或者是想打CTF的同学们一些建议 坑点 先总结一下，我在学习中遇到的坑点  只看视频，眼高手低，不练习，不总结 资源收集松鼠病，天真以为收藏即学会，别氪金开了百度云还是存的满满当当，其实想学啥一个b站的事儿，毕竟众所周知b站可是学习的地方，咳咳，该收藏的还是要收藏（明示本篇） 天天水群，知识没学到，黑话学了一大堆，终究还是百度   建议  多向学长学姐请教（请教前先了解一下提问的艺术），不要死钻牛角尖，特别是刚入门啥都不了解，可能你研究好几天的东西，就是一句话的事，比如环境搭建就是入门学习难点，...

一面1.tell us about yourself（人力问）2.talk about your course related to your major in college3.你用过什么渗透测试工具，sqlmap，burpsuite用过吗？4.比如说你怎么用sqlmap5.文件上传怎么绕过6.做过内网渗透吗？在内网中如何隐蔽自己7.你用过什么漏洞扫描工具？漏洞扫描设备是怎么一个原理？8.对安全设备有了解吗？用过什么安全设备？对xxx（好像是国外的安全设备没听过）有了解吗？9.会做应急响应吗？分享一个你做过的应急响应的案例？10.从乙方到甲方工作会有不同，乙方是做技术实施，而甲方在这方面上会...

去香港大学读CS硕还是去东南大学搏一搏？本人今年是考研二战选手，去年没有申请港大CS，去年也参加了东南大学的网络安全学院考研，进了复试，但由于复试疏忽大意复习偏离方向，复试笔试差几分及格未能参与总排名（实际上若能参与排名，我的总成绩是在录取名额内的）。今年二战在去年基础上加申了港大的CS，运气比较好拿到了港大CS cyber security方向推研，但也同时在准备着东南大学网络空间安全学院考研的二战，有信心若能成功进入考研复试，不会再出现笔试滑铁卢的情况。HKU的offer留位费最迟到12月底，留位费需要15w😢也就是考研初试结束后几天，我能做的就是凭感觉和参考答案核对我的大致成绩，但还是得做出最后的抉择。所以很纠结，想问问各位大佬们或者CS方向的从业人员，觉得我应该是接受HKU的offer，还是最后根据考研初试自我估分情况选择东南大学？希望UU们给些建议，十分感谢！

岗位又少，一个岗面试各种方向五花八门，甲方找不到，乙方一直亏，裁员先裁你这个没产出的。

避雷某706所，线下面试态度特别不好，老登明明不懂我的方向，还拽的很说“这有什么困难吗”“讲都讲不清楚”补充一下，我是密码学专业的，说我没有设计过国密商密算法吗，我说没有还数落我，wtf，老登，你知道国密商密是哪些人在设计吗😅学过密码学的佬知道我在说什么

不知不觉已经2024年了，最近不少公司更新了春招提前批，如果在去年秋招没拿到满意offer的同学，春招就是最后的时机，建议大家关注一下有没有自己意向的公司开启春招，抓住每个机会为自己的职业生涯打造更高的起点！一直都在坚持收集整理校招岗位的更新，把大家关注较多的几个求职方向进行了单独的整理，列出来以便大家选择投递，可以为大家提供最大的便利。上个月持续整理的内容得到了很多小伙伴的热情回应，由于帖子太长，所以1月份的帖子换到这里更新。如果有小伙伴想查看上个月的帖子，可以点击这里跳转测试运维大类岗位12月更新表格。本篇主要是为了帮助求职方向为测试运维大类的同学，细分的求职方向有测试、运维、交付、信息安...

想找安全相关的实习大佬们狠狠喷话说简历是最好写一页吗，但是我没有实习简历写一面又很单薄#实习##安全##信息安全##25实习##2024年校招#

【公司介绍】中金所数据有限公司(以下简称“公司”)是经中国证监会同意，由中国金融期货交易所（以下简称“中金所”）出资成立的下属子公司。公司于2013年6月成立，前身是“北京金融衍生品研究院有限责任公司”，为积极落实国家数字经济战略，进一步支持上海国际金融中心建设，结合业务开展需要，公司于2022年10月28日正式更名为“中金所数据有限公司”。公司以服务金融期货行业高质量发展为目标，集中优势资源，深耕金融期货市场建设。服务中金所，聚焦做好中金所数据系统规划落地、数据应用建设、数据治理及平台建设等工作；服务行业，致力于提供一流的市场化技术服务，主要包含：中金所信息授权、金融托管基础设施，以及以金期通、飞马开放柜台、飞豹策略平台、飞盾风控网关为代表的软件产品服务，构建行业技术开放生态，助力行业数字化转型。为进一步加强公司专业人才队伍建设，现面向社会公开招聘优秀毕业生。【基本条件】拥护中华人民共和国宪法，拥护中国共产党的领导和社会主义制度；事业心、责任感强，认同中金所和公司的企业文化，具有良好的合作意识和团队精神，身心健康；招聘对象为2025届境内外院校硕士研究生及以上学历的毕业生，最高学历毕业后尚未就业。境内院校毕业生毕业时间应在2025年1月1日至2025年8月31日之间并取得毕业证及相应学位证；境外院校毕业生毕业时间应在2024年9月1日至2025年8月31日之间并取得毕业证书及教育部留学服务中心出具的学历学位认证。具有良好的服务意识、保密意识、职业道德和敬业精神；遵纪守法，诚实守信，具有良好的个人品质和职业操守，无违法违纪行为和不良从业记录；具有良好的学习研究、语言表达、逻辑分析、沟通协作和执行能力；学习能力强，具有较强的抗压能力，爱岗敬业，锐意进取，勇于接受挑战；无中国证监会、中金所及公司规定的任职回避情形。【招聘岗位】软件开发、数据研发、算法开发、信息安全【报名方式】本次招聘统一通过网络报名。符合条件的应聘者请登录网址（cffex.zhaopin.com），在菜单中选择“中金所数据公司招聘”并在线投递简历，简历收集截止2024年10月22日（周二）24时。【招聘方式】应聘者应确保个人信息真实、完整、准确填写。公司将在招聘过程中核实应聘者的个人信息，如与事实不符，公司有权取消其应聘资格，相关后果由应聘者本人承担。本次招聘每人限报1个岗位，工作地点为上海。招聘期间，公司将通过电子邮件、短信等方式联系应聘者本人，请保持通讯畅通。公司有权根据岗位需求变化及应聘情况等因素，调整、取消或终止岗位的招聘工作，并对本次招聘享有最终解释权。   https://cffex.zhaopin.com/post/index.html

投递岗位：绿盟移动客户端应用安全工程师（安全类岗位，广州）投递时间：绿盟校招大概8月下旬开，我是9月中旬投递的，9月下旬（临近国庆）得到笔试通知。做完以后一个月没有推进流程，认为笔试挂。笔试题目：单选题（35题目，1题1分）1-5：1，哪种协议不能搭建隧道。2，Linux不能改变文件日期的操作是？3，MySQL语句。4，密码分析的目的。5，MSDTC相关问题。6-10：6，Windows下哪个服务不可以实现内网横动。7，数据的生命周期。8，反序列化有关问题。9，WAF绕过的问题。10，数据资产的概念。11-15：11，隐藏Cobalt strike的方法。12，UDP面向非连接。13，读取RS...

有人收到美的信息安全工程师暑期实习的一面面试吗，做完ai面之后一个星期没动静，感觉凉了

背景：母亲浙江，户籍非浙江，211本女，专业对口3.17一面（面试较久，部分问题忘记了，只能记起这些）hr面：自我介绍关于地域选择，岗位选择；有投递其他公司吗？结果如何？技术面：怎样保证公司内部系统的安全性？3.31二面（一个大会议室，有好几个领导坐在会议桌上）1.做个自我介绍吧，让我们认识你；2.为什么选择xx市？有长期发展的打算 嘛？3.谈一下你对信息安全管理的认识4.请你说出你的优势，说服我们录用你。整个过程不到十分钟，技术问题不是很多，主要是对地域选择的不确定性。hr姐姐超级超级好，人非常和善，微信沟通也非常顺利。期待通过。