上周帮朋友面了一个渗透测试岗，渗透简历写得挺漂亮，测试OSCP、招聘CISP-PTE一堆证，渗透问他最近打过什么有意思的测试靶场，支支吾吾半天说“就常规那些”。招聘再问内网横向移动碰到过什么坑，渗透答“按教程走没遇到问题”。测试面试结束我直接跟HR说：这人不能用。招聘
渗透测试这行，渗透证书只是测试敲门砖，真正拉开差距的招聘是你踩过多少坑、修过多少漏洞、渗透在真实环境里被甲方骂过多少次。测试招聘网站上那些JD写得天花乱坠，招聘什么“熟悉OWASP Top 10”“掌握Burp Suite”“具备代码审计能力”——看着都对，但几乎全是废话。一个能干活的人，不需要你告诉他OWASP是什么，他自己会在简历里写“某次攻防演练中通过Shiro反序列化拿下核心系统”。
我见过最离谱的招聘要求：招渗透测试，要求“精通Python、Java、Go、C++，有五年以上开发经验”。写JD的人大概分不清渗透和研发的区别。渗透工程师要会写脚本，但不需要精通四门语言。真正重要的是：你能不能手工测出一个逻辑漏洞，而不是全靠扫描器报警。扫描器跑出来的东西，甲方自己也会跑，要你干嘛？
说几个我实际面试会问的问题。第一，给你一个登录框，除了SQL注入和爆破，你还会看什么？能答出“看返回包差异判断用户名枚举”“测验证码是否可复用”“检查密码重置逻辑是否可预测”的人，才算入门。第二，你拿到一个Shell，第一件事干什么？答“提权”的，我会追问：不提权你能做什么？能说出“先看内网连通性、找配置文件里的数据库密码、翻历史命令”的人，才是真打过内网。第三，你挖过最有趣的漏洞是什么？这个问题能筛掉90%的背题选手。
招聘方也别太贪心。见过不少公司，招一个渗透测试，要求“会渗透、会等保、会应急、会代码审计、会写报告、会陪客户吃饭”。给多少钱？15K。这种JD挂半年也招不到人。渗透测试细分方向很多，Web、内网、工控、移动端，能精通一个方向已经不容易。想招全栈安全工程师，预算得跟上。
给求职者一个实在建议：别只刷靶场。DVWA、SQLi-Labs打一百遍，不如去SRC平台挖一个真实漏洞。哪怕只是反射型XSS，你提交上去被审核通过，那个成就感比通关靶场强十倍。另外，学会写报告。我见过技术很强但报告写得像流水账的人，甲方看完不知道漏洞在哪、怎么修。渗透测试的最终交付物是报告，不是Shell。
最后说个观察。这行现在两极分化严重：一边是培训班批量生产的“工具人”，只会用现成工具，遇到WAF就懵；另一边是真正的高手，手里握着几个0day，根本不投简历，都是内推。如果你想入行，别只盯着招聘网站上的要求，去看看那些优秀渗透工程师的博客、GitHub，看看他们平时在研究什么。差距不在证书数量，在于你下班后花多少时间在真实环境里折腾。
招人方也反思一下：你出的面试题，是自己真会做，还是网上抄的？你让候选人现场挖漏洞，环境配好了吗？给够时间了吗？尊重是相互的。这行不缺人，缺的是能解决问题的人。