基础

了解HTTPS中SSL在客户端和服务端的传输流程吗？

你觉得为什么HTTPS比HTTP更加安全呢？或者说HTTP为什么不安全？

TCP/HTTP/DNS/IP分别位于OSI七层的哪个层？

你了解WAF的工作原理吗？

说一说你了解的其他安全设备

你认为WAF是规则类的吗还是什么？

能说一下IDS/IPS/waf分别是什么，有啥区别吗？

6379端口启动的服务

懂什么语言，Python爬虫需要用什么库，线程需要导入什么库

静态路由和动态路由的协议分别是什么？区别是什么？

OSI七层是哪七层？IP在哪一层？ICMP在哪一层？TCP/UDP在哪一层？HTTP在哪一层？

对称加密和非对称加密的区别？

HTTPS中SSL的具体流程？

了解不安全的加解密吗，MD5、SHA1这样的？

TCP和UDP为什么说TCP更安全？

接触过的安全设备？

渗透测试 /web安全 / 中间件安全

了解黑盒测试的流程吗？

有进行过小程序APP的漏洞挖掘吗？

你挖到过一些什么样的漏洞呢？

了解SSL相关的漏洞吗？

如果遇到抓包后username/password被加密，你会怎么做？

如果你抓到一个HTTPS的包，需要什么样的条件才能进行解密还原数据？

有遇到过BP无法抓包的情况吗？

如果你作为网站的负责人，不希望网站的数据被抓包，你会如何进行防护？

除了像FOFA这样的资产测绘引擎，你还用过哪些资产测绘引擎

你有用BP来对网站进行爆破吗？

你信息搜集到了CMS，对于渗透有什么帮助呢

登录框常见的漏洞

你的SRC都打了哪些成果？

测试越权的时候用户id等某些参数被加密了，怎么继续测？

BP如何测CSRF？

BP常用哪些插件？

登录框或者一些接口如何进行未授权的测试？

什么样的漏洞最常见？

SSRF的代码审计思路？

说一下XML注入XXE、SSTI、PHP反序列化、Java的反序列化漏洞原理？

中间件漏洞了解过吗？讲几个weblogic的漏洞？

tomcat弱口令的路径？

sql注入的原理？

sql注入的最简单的测试语句？

堆叠注入原理？

sql注入的绕过方法？

XSS有什么危害？存储型XSS能够干什么？

文件上传利用点，利用思路？

文件上传处能否发现xss漏洞？

SQL注入的修复方案？

SQL注入中Mysql 5.0以上和一下有什么区别

SQL注入的分类？

XSS的原理？

XSS的分类？

XSS中存储型和反射型的区别？

CSRF的原理？

CSRF的前提是什么，用户需要在什么前提下才能达到？

社工钓鱼的原理和方法？

命令执行和代码执行中，一般怎么发现代码执行？

逻辑漏洞中水平越权和垂直越权的区别？

说一个支付漏洞的案例

sql注入如何getshell

mysql的udf提权了解过吗？

SSRF一般会用到哪些协议？

XXE漏洞原理？

是否挖到过知名组件或SRC漏洞？

在若依（RuoYi）中挖到过什么漏洞？有没有挖到过0day？

在补天等SRC平台提交过哪些类型的漏洞？能否讲一个印象深刻、完整打通的漏洞利用案例？

JWT有什么优势？

JWT相对于Cookie的安全性体现在哪里？

审计JWT时会重点检查哪些内容？如果代码中硬编码了JWT密钥，应该如何修复？

SQL注入应该如何修复？

哪些位置或场景不能使用预编译、参数化查询？无法预编译时应采用什么替代方案？

了解kkFileView的哪些漏洞？

内网安全 + 应急响应

6379 Redis未授权访问 如何进一步利用

内网进行过渗透吗？讲一讲具体思路

SSH公钥写入，系统需要什么条件

蓝队值守流量预侧出现Webshell告警如何应急响应

凭证获取票据通常会采用什么样的ATT&CK战术

客户表示网站页面被篡改了如何进行应急响应？

查看监听端口的命令是什么？

查看进程的命令是什么？

查看最近登录日志的命令？

说一下边界突破的定义

内网突破后，通过什么样的手段，让外网电脑上的工具对内网主机进行测试？

内网不出网怎么办？

用过frp吗？

Linux/Windows提权方法？

Linux/Windows权限维持方法？

Windows主机不出网，此时为了权限维持进行了影子用户添加这样有意义吗？

讲讲应急响应的思路

内存马无文件落地，请使用最简单的方法来进行内存马查杀

内网域渗透，信息搜集的时候你会比较关注哪些资产？

打过wincenter吗？

说一下Kerberos的认证流程

可以通过SSRF对内网Redis进行哪些攻击？

Redis进行webshell写入存在的版本限制？

redis写计划任务，对操作系统版本有什么要求？

xxe不出网有什么利用方式呢？

是否了解内网渗透？通过边界主机进入内网后，如何进行内网穿透？

使用过哪些隧道或代理工具？是否做过C2通信隐藏？

发现该告警后，你会如何处理？第一时间应该做什么？后续如何分析木马、溯源入口、排查提权、持久化和横向移动？如果是CS木马落地，完整的应急响应流程是什么？应急响应最重要、最优先的原则是什么？在确认和溯源之前，是否应该先阻断攻击？应该如何对受害终端进行网络隔离或终端隔离？

Java Web

讲一讲Java的序列化与反序列化

说一说内存马是什么？

shiro的反序列化原理？

shiro所使用的加密是哪种加密？

fastjson反序列化原理？

CB链和CC链区别？

Java反序列化，最终利用有哪些方式？

字节码这块有了解过吗？

CC2跟其他CC链在comments Collections这个依赖的版本上有什么区别？

JNDI注入原理？

想给Spring写一个内存马有几种方式？代码层面

log4j2漏洞原理？

高版本jdk这时候想用jndi注入有什么利用方式？

简单讲一下Java代码审计的整体思路？

了解或研究过哪些Java组件漏洞？

讲一下Fastjson的历史漏洞及其原理？

如何从公司资产中排查Fastjson组件及其版本？

Fastjson的安全版本是多少？

讲一下Shiro反序列化漏洞的原理？

Shiro RememberMe使用的是什么加密算法和密钥？

Java原生反序列化的入口点、触发函数有哪些？

是否自己编写过反序列化利用链？

了解Java中的SSTI（服务端模板注入）吗？

了解Go语言的代码审计吗？

Tomcat中不同类型的内存马有什么区别？

如何排查Tomcat内存马？

内存马没有落地文件时，怎样从流量和内存两个角度排查？

Filter、Servlet、Listener型内存马分别有什么特征？

Fastjson资产和版本信息是怎么拉取的？

漏洞版本和安全版本分别是什么？

当时给出的修复方案有哪些？

是否真正理解对应漏洞的利用原理，而不只是推动升级？

云安全

docker启动的特权参数

讲一下你了解的容器安全。了解哪些Docker容器逃逸方式？

是否了解Docker 2375 API未授权、runc漏洞以及containerd-shim相关逃逸方式？

业务/项目提问

SEA规则链接触过吗？

参与告警研判过吗？过往研判有什么印象深刻的攻击吗？

平台看到一条SQL注入告警，该如何判断是真实攻击还是误报？

告警降噪与优化是如何实现的？

日常研判的时候，出现上传1.jsp文件此时服务器返回500，无法看出上传成功还是上传失败这个时候该如何判断？

蜜罐捕获一条攻击链，tomcat扫描访问tomcat弱口令然后上传恶意文件之后进行了反弹shell，基于这个场景设计一个SOAR剧本。

研判思路？

溯源思路？

比较关注哪些告警？

UEBA依赖哪些维度的数据，或者哪些类型产品的数据？

讲一下流量研判的整体思路。如何识别WebShell、冰蝎/蚁剑、C2心跳及异常协议流量？了解Redis的哪些漏洞和利用方式？

在安恒实习时配置过哪些自动化响应剧本？能否展开介绍？

如果由你负责WAF告警运营，面对海量互联网边界告警，如何提取真正值得关注的攻击行为？如何过滤无目的扫描、自动化扫描等低价值流量？

除了白名单、告警升降级、聚合和关联分析，还有哪些降噪思路？

聚合之后仍然需要人工研判，如何进一步减少工作量？

AI扫描器会变换Payload、伪造信息，传统规则效果有限时怎么办？

你之前接触的是HIDS告警？每天两三百条HIDS告警是如何处理的？真的会逐条查看吗？

是否编写过告警的生成和消费逻辑？

什么是流式消费？什么是批量消费？

面对持续产生的告警数据，应该如何保存、聚合并进行上下文分析？

在基于DeepSeek的WAF攻击流量研判平台中，你具体做了哪些工作？这是个人项目，还是公司内部项目？项目是否真实运行过一段时间，还是只做了本地验证？使用的是什么模型？实际运行了多久？运行成本是多少？如果接入大规模流量，系统是否会被压垮？如果每条流量都交给AI研判，成本无法承受时怎么办？如何设计AI前的规则过滤、分层研判或抽样机制？

针对重点账号进行个人和部门行为基线对比，属于办公网安全场景吗？这套重点人员监控方案实际效果如何？外发行为的数据从哪里获取？如果用户通过微信等外部渠道发送文件，飞书告警能否检测到？飞书是否能够产生文件外发告警？是否购买或使用过飞书的终端安全产品？公司实际使用的是什么DLP或终端安全产品？为什么不直接在DLP中完成外发检测，而要另外开发Agent？Agent部署在哪里？Agent的整体技术架构是否由你独立设计和实现？Agent如何实时获取DLP或飞书告警？Agent如何记录某个人之前的行为，并在后续分析中保持上下文？上下文记忆是通过规则、数据库、Prompt拼接，还是Agent框架的Memory机制实现的？当前实现是否本质上只是Python调用大模型API的对话式工具？是否考虑过用真正的Agent架构重新实现？如果使用Agent，整体架构应该如何设计？是否考虑先把流式告警写入Elasticsearch、消息队列或数据库，再按照时间窗口去重和关联分析？

AI/Agent

是否自己设计过Agent？

方便讲一下飞书告警溯源Agent的工作原理吗？

Agent中的轮询时间、调查意图和规则是否需要提前定义？

Agent是用什么语言编写的？

Agent实际运行后有没有真实数据或处置案例？

是否设计过自动化代码审计或自动挖SRC漏洞的工具？

平时使用什么Harness或AI编码/Agent工具？

其他

如果你要学习一个新的内容，讲讲你的学习方法。

你当时作为一个蓝队初级在客户现场看到过什么？感触是什么？学习到了什么？

你觉得当时客户现场需要改进的点是什么？

病毒样本如何逆向分析？

离职原因？

简历中没有明显的前后端项目，你是否独立开发过完整系统？除了Python脚本，是否写过前端或后端项目？平时如何使用AI进行Vibe Coding？在大型工程中，如何保证AI生成的代码不会出现问题？如何验证AI生成代码的安全性、正确性和可维护性？你是否理解“代码可以由AI生成，但最终责任属于开发者”这一要求？