面试官问“你拿到一个目标站点，渗透渗透测试第一步做什么？测试”
标准答案谁都会背：信息收集。但我见过太多人栽在这上面，面试一上来就扫端口，题及跑目录，答案搞得跟拆迁队似的渗透。真正的测试第一步，是面试先搞清楚这站是干嘛的，谁在用，题及值不值得打。答案一次授权测试，渗透目标是测试个老旧的内部OA系统，管理员说“随便测”，面试结果我花了两小时翻它的题及JS文件，在压缩包里找到一段硬编码的答案数据库连接串。这比爆破一万次密码都管用。

“SQL注入怎么快速判断？”
别急着上sqlmap。先手动丢一个单引号，看报错，再看页面回显差异。有一次我测一个登录框，输入`admin' and 1=1`和`admin' and 1=2`，响应时间差了整整三秒——明显是时间盲注，但数据库是MSSQL，误报成MySQL的人肯定栽了。判断注入点类型，比直接跑工具重要十倍。

“拿到webshell之后，怎么提权？”
很多人张口就是“内核漏洞提权”，但现实里Windows服务器补丁打得比谁都勤。我撞过一次运气，拿到一个IIS站点的shell，权限低到只能读C盘根目录。翻遍系统信息，发现装了SolarWinds，版本老得掉渣，CVE-2020-10148直接打穿。提权不是靠蛮力，是看你有没有耐心翻软件列表、服务项、计划任务。有一次甚至因为管理员把密码存在桌面TXT里，省了所有事。

“怎么绕过WAF？”
这问题问得没水平，得看WAF是什么牌子，规则库更新到哪年。我遇到过最蠢的WAF，只拦`union select`，不拦`UNION ALL SELECT`，大小写加空格就绕了。还有一次，目标用阿里云WAF，我试了编码、分块传输、注释符全被拦，最后发现参数值里加一个回车符就能过——那家伙的解析器对换行处理有缺陷。绕WAF的核心不是技巧库，是你对HTTP协议理解得够不够细。

“CSRF和SSRF有什么区别？”
这问题初级，但总有人答歪。CSRF是借用户的浏览器发请求，SSRF是借服务器发请求。我记得一次测试，一个图片上传功能，URL参数直接拼进后端请求，我改成`http://169.254.169.254/latest/meta-data/`，居然把云主机的IAM临时凭证打出来了。SSRF的杀伤力不在于能扫内网，而在于能摸到云元数据。

“给你一个登录框，除了爆破还能干嘛？”
试SQL注入、万能密码、默认口令，这些是常规操作。但有一次我盯着登录框看了半天，发现它的密码重置逻辑是按`username`字段查用户，然后往邮箱发链接。我试着把用户名改成`admin'--`，结果SQL报错，直接把后台账号列表爆出来了。登录框的每个参数都可能是突破口，别只盯着密码那个框。

最后问一个我常问候选人的：“你最喜欢的渗透测试工具是什么？”
有人答Burp Suite，有人答Nmap，但有个小伙子说“是浏览器开发者工具”。我当时就笑了，这答案不装，但真实。F12看网络请求、改JS、看Cookie，很多时候比任何工具都直接。渗透测试不靠工具堆砌，靠的是脑子转得快不快。