网络安全面试常见问题

面试官问“SQL注入怎么防”，网络问题你答“用预编译语句”，安全然后呢？面试没了。这种回答在初级岗能过，网络问题但稍微有点规模的安全公司，面试官会接着问：预编译为什么能防注入？面试PDO和mysqli的预处理在底层实现上有什么区别？如果业务必须拼接表名或排序字段，预编译覆盖不到，网络问题你怎么办？安全

我面过不少人，发现一个挺普遍的面试现象：很多人背了一堆名词，XSS、网络问题CSRF、安全SSRF、面试反序列化，网络问题每个都能说两句，安全但一问到具体场景就卡壳。面试比如问“你做过应急响应吗”，对方说做过，再问“那你到现场第一件事干什么”，回答“断网”。断网没错，但得看情况。如果是勒索病毒正在加密文件，断网是止损；如果是webshell已经植入但攻击者还在横向移动，断网可能打草惊蛇。这种判断力，背题库背不出来。

渗透测试和漏洞挖掘，面试官到底在听什么

“你挖过什么漏洞？”这问题几乎必问。有人上来就说“挖过SQL注入”，然后描述怎么用sqlmap跑出来的。面试官心里已经扣分了。真正加分的回答是：你看到一个登录框，先判断数据库类型，根据报错信息或延时特征选payload，手工确认注入点，再考虑是union还是盲注，最后写报告时怎么定级、怎么给修复建议。工具谁都会用，思路才是区分度。

还有个高频问题：“给你一个目标，你第一步做什么？”标准答案“信息收集”没错，但太笼统。我会追问：子域名怎么收集？端口扫描用masscan还是nmap？扫到8080端口跑着Tomcat，你怎么判断版本？如果版本有已知漏洞，你是直接打还是先找后台入口？这些问题没有唯一答案，但能看出一个人是只会点按钮，还是真的理解攻击链。

安全开发岗，别只谈OWASP Top 10

面安全开发，很多人把OWASP Top 10背得滚瓜烂熟。但面试官更想知道：你在代码层面怎么落地？比如“失效的访问控制”这一条，你在设计API时怎么保证用户A不能查用户B的订单？是每个接口都手动校验，还是用中间件统一做权限拦截？如果订单ID是自增的，怎么防止遍历？这些细节比背十条名词有用得多。

我见过一个候选人，简历写“熟悉JWT安全”，我问JWT最大的坑是什么。他说“密钥泄露”。对，但不够。JWT还有算法混淆攻击——把RS256改成HS256，用公钥当HMAC密钥签名。还有kid注入、jku伪造。这些他都没提。后来聊到实际项目，他说他们系统用JWT做会话管理，我问他token过期怎么处理，他说设了24小时。我问那用户改密码后旧token还能用吗？他愣了一下，说没考虑过。这就是典型的“知道概念但没踩过坑”。

应急响应和溯源，考的是经验不是知识

“服务器被入侵了，你怎么排查？”这题几乎每场必问。很多人答“看日志”，然后说看/var/log/secure、看web访问日志。方向对，但不够具体。我会接着问：如果日志被删了怎么办？如果攻击者用了rootkit，ps和netstat都看不到进程怎么办？这时候能不能想到用busybox、用strace、用内核模块检查？能不能从流量侧做分析？

溯源部分更考验人。有人一上来就说“查IP”，但IP可能是代理、可能是CDN、可能是跳板。真正做过溯源的人会先看攻击者的行为特征——用的什么工具、什么时间活跃、有没有留下习惯性的payload。这些细节比IP更有价值。我经历过一次溯源，最后定位到攻击者是因为他在多个目标上用了同一个自定义的User-Agent字符串。这种线索，只有真正盯过日志的人才会注意到。

反问环节，别问“公司有什么培训”

面试最后让你提问，很多人问“公司有什么培训体系”“团队多少人”。这些问题不算错，但浪费机会。更好的问法是：你们的安全团队目前最头疼的问题是什么？是SDL落地难，还是应急响应人手不够？或者：你们怎么衡量安全工作的ROI？这种问题能让面试官觉得你在思考业务，而不是只想找个地方学东西。

网络安全面试有个特点：知识可以突击，但判断力突击不来。你背一百个漏洞原理，不如亲手复现一个；你看十篇应急响应文章，不如真处理一次入侵。面试官想找的是能解决问题的人，不是能背答案的人。