安全面试准备什么？

本文目录导读：

1. 核心知识储备
2. 实战能力证明
3. 非技术问题（软技能）
4. 针对性准备（根据岗位细分）
5. 面试当天准备清单
6. 禁忌与加分项

安全面试（通常指网络安全、信息安全、物理安全等岗位）的准备工作需要系统化，既要展示技术深度，也要体现安全意识与实战能力，以下是针对技术类安全岗位（如安全工程师、渗透测试、安全运维等）的详细准备清单：

核心知识储备

基础理论（必问）

• 网络协议：TCP/IP三次握手/四次挥手、HTTP/HTTPS原理、DNS解析流程、常见端口（22 SSH、80 HTTP、443 HTTPS、3306 MySQL等）。
• 操作系统：Windows安全基线（账户策略、组策略）、Linux权限管理（SUID/SGID、ACL）、日志分析（/var/log/）。
• 加密与认证：对称加密（AES）、非对称加密（RSA/ECC）、哈希（MD5/SHA）、数字签名、SSL/TLS握手过程、认证协议（Kerberos、OAuth、JWT）。

安全技术（必考）

• Web安全：OWASP Top 10（SQL注入、XSS、CSRF、SSRF、文件上传漏洞等）的原理、利用方式、防御措施（如参数化查询、CSP、Token校验）。
• 漏洞挖掘：常见漏洞扫描工具（Nmap、Nessus、Burp Suite、Sqlmap）的使用场景与绕过技巧。
• 渗透测试：生命周期（信息收集-漏洞扫描-利用-权限提升-持久化-痕迹清除），提权方式（Linux脏牛、Windows土豆家族）。
• 病毒与分析：静态分析（PE结构、哈希）、动态分析（沙箱运行、行为跟踪）、逆向基础（IDA Pro、Ghidra基本使用）。

前沿热点（加分项）

• 云安全：AWS S3权限配置、K8s RBAC漏洞、容器逃逸（Cgroups、Namespace漏洞）。
• 移动安全：反编译（Jadx、Apktool）、Root检测绕过、iOS越狱环境下的安全审计。
• AI安全：对抗性攻击（绕过人脸识别）、大模型Prompt注入、数据投毒防御。

实战能力证明

靶场与CTF（体现动手能力）

• 推荐资源：HackTheBox（HTB）、TryHackMe（THM）、Bugcrowd/漏洞赏金平台（实际漏洞挖掘）。
• 面试准备：准备3-5个印象深刻的案例（如：“我用SQL注入获取了xx管理后台权限，但难点在于WAF绕过，最终通过编码混淆+时间盲注实现”）。

工具链熟悉（面试可能问细节）

• Burp Suite：Proxy、Intruder（爆破/模糊测试）、Repeater、Scanner使用技巧。
• Metasploit：模块选择（exploit/payload/post）、免杀方法（编码器、打包器）。
• Wireshark：过滤表达式（http.request、ip.addr）、提取HTTP对象、追踪TCP流。

代码审计（中高级岗位重点）

• 语言：PHP（弱类型、变量覆盖）、Java（反序列化、SpEL注入）、Python（路径遍历、命令注入）。
• 审计方法：从敏感函数回溯（如eval()、exec()、include()）,结合代码执行流程找逻辑漏洞。

非技术问题（软技能）

1. 安全意识：如何向非技术同事解释“为什么需要打补丁”？遇到可疑邮件你会怎么处理？（体现安全沟通能力）
2. 应急响应：假设服务器被种了挖矿木马，你的排查步骤是？（回答框架：隔离→进程/网络排查→日志追踪→清理→溯源）
3. 职业发展：为什么选择安全行业？对AI安全或零信任等趋势有什么看法？（展示持续学习意愿）

针对性准备（根据岗位细分）

面试当天准备清单

1. 技术装备：准备好笔记本电脑（需提前装好VMware、Burp Suite、Nmap等工具，某些面试会要求现场演示）。
2. 实战模拟：面试前1小时，快速跑一遍常见渗透流程：Nmap扫描→发现80端口→访问网站→发现SQL注入点→尝试注入导出数据库（用SQLMap或手工）。
3. 心态调整：遇到不会的问题，采用“假设-验证”话术：“这个问题我不太确定，但根据我的经验，可能是这样（如：反序列化漏洞可能需要检查readObject方法），不过需要实战验证。”

禁忌与加分项

• 绝对别踩雷：不要仅背答案（如问“什么是XSS”只背定义），需结合场景（“在xx系统中，我看到输入框未过滤<,>；测试alert(1)发现弹窗，最终用CSP修复”）。
• 硬核加分：展示GitHub项目（自写PoC脚本、靶场WP）、有CVE/漏洞赏金记录、熟悉逆向工程（如ARM/x86汇编基础）。

最后建议：准备一个“安全仪表盘”式的自我介绍：在1分钟内，说明你擅长的领域（Web/云/移动）+代表案例（攻破某靶场的完整路径）+核心技能（代码审计/工具开发）+对安全的热情（参加CTF/阅读某知名漏洞分析）,这样能快速让面试官建立信任感。