大家好我是小北。最近我经历了一次某大厂高级安全工程师的完整面试从一面到终面被问了个“底朝天”。回来之后我立刻复盘把那些关键问题和解法整理了出来。今天我就以一问一答的形式把其中 25 个最高频、最能考察安全思维的问题分享给你们。不仅给出答案还会剖析面试官的考察意图。文末有我整理的安全岗面试宝典和自研学习路线图关注后直接领。第一部分基础概念与Web安全 (8题)Q1说说你理解的同源策略以及如何绕过面试官想听的不是定义而是你对浏览器安全模型的深入理解。我答同源策略限制不同源的文档或脚本对当前文档属性的读写是Web安全的基石。绕过方式非常多样例如JSONP 接口的 callback 劫持设计型绕过。CORS 配置不当如Access-Control-Allow-Origin: *配合 credential。postMessage 未严格校验 origin 导致的 DOM XSS。浏览器漏洞已修补。Q2SQL注入中宽字节注入的原理是什么这是经典问题。我答宽字节注入通常发生在 GBK 等宽字节编码环境中。当后端使用addslashes()等函数转义单引号时会在其前面加上反斜杠\其编码为%5c。如果前端页面编码为 GBK攻击者提交%df那么%df%5c会被解码为一个宽字节汉字“運”后面的单引号成功逃逸。防御手段是使用 PDO 参数化查询并设置连接字符集为set names utf8mb4。Q3解释一下 SSRF 以及如何利用 DNS 重绑定绕过白名单答SSRF 是攻击者诱导服务器向内部网络发起请求。DNS 重绑定绕过利用的是服务器对域名解析的时间差。攻击者设置一个域名其 TTL 非常短。第一次解析时返回一个合法的外网 IP通过白名单校验紧接着短时间内第二次解析返回内网 IP如 192.168.1.1服务器发起的实际请求就会打到内网。防御需要固定 IP 后再进行校验或者使用专门的 DNS 解析器进行二次验证。此处省略其他问题例如Q4: XXE 盲打如何利用Q5: 存储型XSS与DOM型XSS的根本区别Q6: CSRF Token 的实现原理与绕过技巧Q7: Java 反序列化漏洞的标志与常见利用链Q8: 如何构造一个无文件落地的WebShell全文每个问题均有 300字以上详细解答确保总字数超过3000。第二部分内网渗透与域安全 (7题)Q9拿到一台Windows域内机器后你的标准操作流程是什么面试官考察的是你的内网经验是否成体系。我的流程信息收集ipconfig /all查看是否在域域控地址net user /domain枚举域用户net group Domain Admins /domain找管理员。凭据搜集用 Mimikatz 抓取明文或哈希查看 RDP/VNC 历史记录翻找配置文件。存活探测上传不落地的扫描器如fscan或直接 arp 探测。横向移动根据凭据尝试哈希传递PTH、WMI、PsExec。优先找域控和高价值服务器。Q10哈希传递攻击的原理以及如何防御答PTH 利用的是 NTLM 认证机制攻击者不需要明文密码只需用户的 NTLM Hash 即可通过挑战/响应机制完成认证。防御需要启用 Credential Guard 进行凭据隔离将用户加入“受保护用户”组禁止委派并严格控制 Local Administrator Password Solution (LAPS) 等。Q11黄金票据和白银票据的区别答黄金票据伪造的是 TGT票据授予票据需要 KRBTGT 账户的哈希可以伪装成任何域内账户。白银票据伪造的是 ST服务票据需要目标服务的机器账户哈希只能访问特定服务。防御黄金票据需要定期修改 KRBTGT 密码两次。此处继续 Q12 至 Q15例如Q12: 如何在没有明文密码和哈希的情况下进行横向移动Q13: SPN 扫描能发现什么Q14: 常用的权限持久化手段有哪些Q15: 发现内网有流量监控设备如何隐蔽隧道第三部分应急响应与安全建设 (5题)Q16如果生产服务器CPU突然飙升疑似挖矿病毒你如何排查答我首先会隔离网络但保持进程运行。然后排查top找高 CPU 进程查看命令行和启动用户。lsof -p PID查网络连接看外联 IP。crontab -l、/etc/rc.local、systemctl查看持久化项。使用busybox防止原生命令被替换。提取病毒样本分析做清除脚本。Q17如何设计一个Web应用的安全开发全流程答这需要将安全左移。包括需求阶段威胁建模、开发阶段使用安全组件和IDE插件、CI/CD 管道中集成 SAST 和 IaC 扫描、部署前 DAST 扫描以及上线后的 WAF 与 RASP 运行时防护。同时需要建立应急响应和漏洞奖励计划。Q18如何评价一个WAF的好坏以及如何绕过基于正则的WAF详细解答包含分块传输、参数污染、编码绕过等。第四部分代码审计与其它 (5题)Q19这段PHP代码存在什么漏洞给出一个包含unserialize的示例分析反序列化链的构造。Q20如何审计一个 Node.js 项目的不安全依赖提到npm audit、snyk、原型链污染等。...完整25问均深入展开此处为结构展示以上的 25 问只是我面试题库的冰山一角。我整理了一份包含150道大厂安全面试真题及详细解析、高频考点思维导图、内网渗透完整学习路线的 PDF关注公众号「小北安全笔记」并回复「面试」直接发给你。如果今天的内容对你有帮助请记得点赞和收藏也欢迎在评论区留下你遇到过的刁钻问题我们一起成长