渗透工程师简历

我投出去的渗透师简简历里，最常被问的工程一句话是：“你简历上写的那个漏洞，是渗透师简你自己挖的，还是工程抄的？”
问这话的面试官，往往自己也做过几年渗透。渗透师简他们太清楚这行水分有多大了。工程GitHub上扒个POC，渗透师简改个参数，工程就敢往简历上写“独立发现XX系统高危漏洞”。渗透师简我见过最离谱的工程一份简历，把网上公开的渗透师简Struts2漏洞分析报告，直接截图贴进项目经历里，工程连错别字都没改。渗透师简

所以我的工程简历，第一页永远是渗透师简“漏洞时间线”。不是那种“2019.03-2020.06 某金融公司安全工程师”的流水账，而是像代码提交日志一样，标注着每个漏洞的发现日期、目标系统、漏洞类型、危害等级。比如“2023.11.17 某省级政务App越权遍历用户身份证号”，后面跟着一段脱敏的利用链描述。这一页不写任何自我评价，纯粹用事实砸人。
有次面试官盯着这条看了两分钟，抬头问我：“这个越权，你是直接用Burp改包测出来的，还是先做了接口分析？”我知道他在试探我是不是只会跑工具。我告诉他，我先用JS逆向找到了那个加密参数，是AES-CBC模式，IV固定，然后写了个脚本批量枚举user_id，最后用手机号碰撞验证了数据真实性。他听完没再问技术细节，直接给我发了offer。

写技术栈那部分，我从不写“精通XX”。这词儿太虚了，我写了三年简历，最后发现最管用的是“熟练使用+具体场景”。比如“熟练使用Burp Suite，擅长通过插件编写自动化检测逻辑”比“精通Burp”强一百倍。因为前者代表你能把工具变成自己的武器，后者只代表你点过那个软件的图标。
我还特意在“内网渗透”那一栏加了个括号备注：“不擅长域渗透，但能用CS+frp完成基本横向移动”。这行字看着像自曝短处，实际是过滤掉那些要求“全栈渗透”的傻X公司。真到实战里，域渗透和Web渗透完全是两套技能树，能把自己擅长的部分做到极致，比啥都摸一遍强。

项目经历我写了三个，每个不超过五条bullet point。其中一条我特别得意：“某银行移动端测试中，发现其安全SDK的混淆规则存在缺陷，通过动态调试还原了加密逻辑，成功构造出有效签名。”这条信息量很大——它同时证明了你会逆向、懂密码学常识、能写代码、并且有耐心跟SDK死磕。面试官看到这种条目，通常会直接跳过“你做过什么”这种初级问题，直接问你“当时怎么想到去调那个混淆的”。
但千万别在简历里写“负责XX平台安全建设”这种鬼话。一个渗透工程师，在甲方公司里能负责的顶多是某个业务线的安全测试。你写“负责”，面试官默认你要么在吹牛，要么是个光杆司令。我见过一个哥们儿，简历上写“主导公司整体安全架构升级”，结果面试时连数据库审计日志怎么开都说不清楚，当场被请出去。

教育背景放最后，只写学校、专业、毕业年份。没人关心你在大学里学过什么课程，更没人信你“自学能力强”这种自我评价。倒是有一栏我坚持保留——“漏洞赏金记录”。这里我列了三家SRC平台的排名和累计奖金数，最后加了一句：“2019-2023年间，向CNVD提交过17个有效漏洞。”这比任何认证都硬核，因为漏洞库的收录审核，本身就是最严格的第三方验证。
简历写到最后，我删掉了所有形容词，只留下一句话：“擅长从业务逻辑里找漏洞，讨厌写报告。”这句有点玩笑，但真实。后来有HR跟我说，她就是因为这句话把我简历推给技术总监的——她说技术总监看了直乐，说这性格适合干渗透。