1.先是自我介绍我说之前作为校赛网络安全社团的主要负责人负责校赛CTF出题同时作为团队的队长带领团队多次获得省级的一等奖二等奖此处可举例一些获奖经历之前在团队里一开始负责的是杂项目前负责的是逆向和web有两次攻防实战项目之后是问问题环节先问了简历上的问题1.问了简历上那两个攻防经历作为攻击方讲一下你在这个经历中主要做了什么怎么监测到漏洞的说一下渗透测试的流程 2.发现sql注入后获取到的数据库版本和名称是什么比如获取到数据库的版本是sqlserver2012这里感觉会问一些sqlserver之类的问题之后有没有进行一些后续操作指一些横向权限维持等 3.在绕过SQL注入的时候有看到WAF吗怎么绕过的 4.获取到了管理员的帐号和密码“看到你的简历上说是运用了彩虹表和MD5进行解密“什么是彩虹表怎么进行解密的 5.“去爆破后台路径”用什么工具进行爆破为什么要爆破路径 6.“接着发现一个文件上传漏洞“是在一个什么样的界面发现的2.有挖到过一些漏洞吗比如edusrc , 企业举办的src 在一些src公测平台交过漏洞吗A这里回答了挖过xxx的漏洞是XSSQ他问了是反射型还是存储型在什么界面上出现XSS漏洞的Q挖到过企业src吗3.熟悉哪些市场上的安全设备问了微步在线威胁情报的作用以及介绍一下绿盟IPS作用4.正向代理和反向代理指的是什么以及他们的区别5.有没有做过内网渗透内网渗透的流程6.应急响应的流程之前有做过这方面吗7.遇到过的应急响应的事件回答… 目标主机用了Apache中间件…Q用了apache的中间件问了攻击者攻击记录的日志文件名称是什么Aaccess后面跟上时间戳.log一开始以为会问Linux系统下的各种中间件日志的路径8.现在AI挖洞都很流行你是用过吗举几个例子并且问了AI对挖洞的作用对AI挖洞的理解9.说一下ISO27000以及等级保护制度到这就结束了