首页 > 字节渗透测试一面到三面面经(发面经攒人品)
头像
牛客595609012号
编辑于 2020-10-29 13:10
+ 关注

字节渗透测试一面到三面面经(发面经攒人品)

1. 一面,面试官上来就说我就问二进制,然后先问了如何写shellcode的reverse shell,reverse shell中有哪些组成,接下来问了一点Buffer Overflow,问了用户态和内核态,问了之间的区别和转换方法。之后问了简历里的Mempodipper,然后问了Race Condition,Dirty Cow等。过程中用Python写了一个Socket编程。感觉大部分是按照简历中的内容来的,大家在准备面试的时候一定要把简历好好弄透。我当时由于shellcode都是直接msfvenom生成的,所以第一个问题就卡壳了,但是很幸运进入了二面。
2. 二面,主要问题集中在Web方面,问了no sql注入(这个也是简历上写的,Mongodb),是否是基于拼接,然后问了一下Redis的攻击方法(这个不是很会,没有实际操作过)。接下来问了XSS,shellshock漏洞,这些也是简历上有的,其中shellshock子进程使用parsing出现的问题没有回答好。然后问了简单的SSL连接过程。最后问了一个加入你拥有了内网机器的权限,你如何扩大攻击,开放性题目吧,看个人经历感觉,做的越多答的越好。
3. 三面,三面明显和之前不同,面试官人很好,一直在强调这一面不问太多基础,主要是要看你的实际能力。一上来就问我你觉得你自己什么方面比较强,他就打算问什么方面(气场拉满!)。其实这一轮我也挺没底的,感觉之前都是对以前的一些漏洞看的比较多,实操比较多,但是最新的漏洞,攻击方向了解的比较少,以后还是要多了解一些新的,现在工业界正在面临的攻击。三面主要问题问了sql注入,先问了一下平时的经验,在注入的时候有什么要注意的地方,然后问如何使用mysql进行文件的读写,有什么前提要求。然后面试官给定一个条件是比如你输入中的逗号,这个逗号在最后解码之后会被删除,问是否有方法绕过。我主要想的是使用二次注入,一次先把逗号放入数据库中,第二次希望直接从数据库里提取使用,绕过验证。(不知道这个方法对不对,评论如果有大神请教教孩子吧!)然后问了一下对mXSS的了解,在面试官的一些提示下稍微讲了一下原理,但是确实不是我熟悉的方向。总之,三面更多的是一个实际应用的过程吧,不会说多么的基础,但是一定是建立在良好的基础之上的。会问一些相对比较新的攻击手段,攻击思路。我认为对于安全方面来说,永远要记住紧跟潮流,在了解的同时,最新的漏洞也要会实操,还是要多下功夫啊。

最后希望大家也都能顺顺利利,offer多多!

更多模拟面试

全部评论

(3) 回帖
加载中...
话题 回帖

推荐话题

相关热帖

历年真题 真题热练榜 24小时
技术(软件)/信息技术类
查看全部

近期精华帖

热门推荐