HW面试题整理：厂商考题画像与高频考点备战清单

简介面向备战HW/护网及网络安全岗位面试的从业者这份合集汇集了天融信、长亭、安恒、奇安信、360、阿里等十余家厂商的20余份HW面试题另含近100份安全岗位面试题覆盖HW初级/中级面试、2023护网面试等模块适合安全服务、渗透测试、红队攻防、安全研究员等方向查漏补缺。内容涉及HW经历问答、溯源应急思路、内存马排查、内网流量分析、日志审计等高频考点部分题目附答案并做了补充说明便于系统梳理知识短板。资源为单个docx文档仅136KB一份文件即可整体查阅。目前已有484人学习下载适合正在备赛或计划换岗的安全工程师巩固实战与面试要点。1. 100多套HW面试题整理成了什么一份备战清单不是一个答案库马上又要到HW护网招聘季很多人在临时突击复习。我把网上散落的二十几份厂商HW面试题、加上近百份安全岗位面试题集中起来整理成了一份自查清单。整理完最大的感受是这类面试题的价值不在于让你背下一套标准答案而是帮你提前看到面试官从哪个角度考你以及你自己哪块知识还是黑匣子。这份资料覆盖天融信、漏洞盒子、长亭、安恒、青藤、奇安信、360、阿里等十余家厂商题目从Web漏洞原理问到内网横向、从应急响应问到溯源反制。适合正在准备HW防守方向、安全服务、渗透测试、红队攻防岗位的人做查漏补缺。最值得看的恰恰是那些你答不上来的题它们比答上来的题更能暴露你的短板。2. 厂商问题画像面试官不在考答案在考你的链路2.1 十一家厂商的考题画像速查表把二十几份题按厂商拆开看每家的问法有明显倾向。我把常见题目整理成一张画像表你复习时按这个表判断重点。厂商高频问题类型隐藏意图复习方向天融信HW经历、溯源应急、内网流量出网方式确认你有真实防守经验日志查看、应急流程、出网原理漏洞盒子渗透经历、漏洞平台提交情况判断实战深度和主观能动性梳理自己的实战案例长亭设备使用、内存马排查、敏感文件读取、反序列化原理考排查链路而非单点知识内存马检测思路、日志分析顺序安恒十大漏洞、溯源应急基础是否扎实OWASP Top 10 逐条过青藤设备误报处置、扫描与手动流量区分、被拿Shell处置遇到问题怎么决策PDCERF模型、流量特征判断奇安信Web十大漏洞、中间件漏洞、反序列化、Windows/Linux提权对攻击链路的整体掌握中间件漏洞清单、提权思路360注入函数、PHP命令执行函数、溯源、日志分析基础函数和排查实战代码审计基础、日志分析极盾科技WebShell响应、静态与动态检测、日志检测对WebShell的理解深度WebShell检测原理国誉网安Windows提权、系统漏洞编号对已知漏洞的积累程度经典CVE编号与影响范围阿里OOB、IDS、IDR对安全产品的理解安全产品分类与作用2.2 产品型厂商盯设备服务型厂商盯流程从考法上看厂商之间可以分成两类。一类是安全产品厂商像奇安信、360、安恒它们问Web漏洞、中间件漏洞、提权本质上是在看你对攻击链路有没有整体认知。比如奇安信直接问“常用中间件漏洞”从IIS问到WebLogic这不是让你背列表而是看你知不知道每种中间件对应的攻击面在哪里。另一类是安全服务厂商像天融信、漏洞盒子它们更关心你的应急和溯源能力。问题往往从“谈谈你的HW经历”切入追问“日志怎么分析”“溯源用什么平台”。这类问题没有标准答案面试官在听你的表达里有几条完整的链路先看什么、再看什么、最后怎么处置。2.3 面试官要的是链路不是名词很多题看起来是名词解释但回答方式决定了你的档次。拿长亭这道题来说“如何查看系统内存Shell”如果回答“用工具扫一下”就只答了结果没答链路。面试官想听的是你先判断注入方式、再看Web日志特征、然后排查中间件漏洞、最后定位到具体后门。这套回答哪怕中间某个步骤不完美也能让面试官看到你具备排查能力。资料里那几道让我印象深刻的题几乎都是这种“以点带链”的问法复习时要特别注意。3. 高频考点的应答顺序漏洞原理、内网手法与日志排查3.1 反序列化问题的三层应答法长亭和奇安信都问到了反序列化这是个绕不开的考点。最常被问的是Shiro、Fastjson、WebLogic。答题不能只报漏洞编号要按三层来组织。第一层讲原理比如Fastjson在处理JSON对象时没有对type字段做过滤导致攻击者可以传入恶意类第二层讲特征比如Shiro的返回包中有rememberMedeleteMe字段第三层讲实战场景比如拿到WebShell后不出网怎么办。我一般建议的回答模板原理漏洞成因、触发入口特征流量层、返回包层有哪些可观察特征利用链如果出网怎么办不出网怎么办这样的回答能覆盖面试官的追问空间。资料里长亭红队面试连续追问了Shiro漏洞发现、漏洞类型、WebLogic权限绕过、Fastjson利用原理最后问到“不出网怎么办”答案从回显到DNS隧道、ICMP隧道层层递进。如果你只背了漏洞编号到第二层就会被卡住。3.2 打点、内网与横向别只报工具名奇安信红队面试里有一串内网问题拿WebShell后怎么横向Psexec和Wmic有什么区别抓不到密码怎么办。这类题的答题要点不要只报工具名要报你用什么、为什么用这个、它会留下什么痕迹。比如Psexec会记录大量日志Wmic更隐蔽这个区别才是面试官想听的。内网问题还常考协议层面的知识。资料里提到IIOP和Java RMI的关联提到Dcom提到Net Use共享加计划任务。准备方向应该是先搞清楚每种手法的通信端口和日志痕迹再记工具名。比如横向渗透常被问的Psexec、Wmic、Smbexec、Winrm要能说清哪个走445、哪个走5985这样才能应对“不出网怎么办”这类追问。3.3 日志分析HW防守岗位的命根子日志相关题目在多家厂商的面试中反复出现这是防守方的基本功。我会按这个顺序复习你也可以照着过一遍系统日志位置Windows的事件查看器Linux的/var/log目录关键日志文件/var/log/secure对应身份认证/var/log/message对应系统错误/var/log/wtmp记录登录事件日志分析要素IP、时间、事件类型、攻击路径分析工具ELK做集中分析Wireshark做数据包深度查看威胁情报平台微步在线等查Host是否为恶意这里有一张Linux日志文件对照表来自资料中长亭的题目值得背下来日志文件记录内容排查场景/var/log/message系统启动后的信息和错误日志系统级异常/var/log/secure与安全相关的日志登录爆破、提权尝试/var/log/wtmp永久记录用户登录、注销事件异常登录排查/var/log/cron定时任务相关日志持久化后门排查/var/log/maillog邮件相关日志钓鱼邮件溯源日志题的回答节奏很关键。先说自己用什么设备或工具看流量再讲判断思路最后补一个实际案例。比如青藤问“如何区分扫描流量和手动流量”答案核心是“扫描流量数据量大、有规律手动流量请求少、间隔略长”回答时补上具体观察维度就完整了。4. 异常情况处置应急响应、内存马与溯源4.1 应急响应不能只答“杀一下”要按PDCERF走青藤、极盾科技都考了“被拿Shell了如何处理”这种题要按PDCERF模型回答才显得有条理。模型分六步准备、检测、抑制、根除、恢复、跟踪。我来说说每一步在实际面试中怎么答阶段面试回答要点Prepare 准备准备检测工具和人平时维护好日志与威胁情报源Detection 检测检查防火墙、系统、Web服务器、IDS/WAF/SIEM中的日志Containment 抑制先控制受害范围防止影响蔓延到其他资产Eradication 根除找根源原因封堵攻击源清理后门Recover 恢复把业务恢复到正常水平Follow-Up 跟踪持续监控确认没有其他攻击向量写报告复盘这里最关键的是“抑制”和“根除”的顺序。资料里原文特意强调切记不要一股脑把精力全部投入封堵后门。先控制范围、再找根源。面试中说出这个顺序显得你经历过真实事件而不是背了流程。4.2 内存马排查顺序决定效率长亭问的“如何查看系统内存Shell”是很有区分度的一道题。完整排查顺序应为查看Web日志找可疑访问记录。Filter或Listener类型内存马会有大量URL请求路径相同、参数不同的特点页面不存在但返回200也要重点看对比返回200的URL路径和Web目录下真实文件文件不存在大概率是内存马排查是否为中间件漏洞导致代码执行注入看中间件error.log有无可疑报错根据注入时间排查是否存在Java代码执行漏洞、历史WebShell、反序列化漏洞暂停一下手动停笔是为了让下面的内容衔接。继续。回答时把“先日志、再文件、再组件”的顺序讲清楚面试官就不会打断你。这道题的加分项是提到流量特征哥斯拉、冰蝎等工具注入内存马时流量与普通WebShell基本吻合所以要结合返回200和文件存在性双重判断。4.3 溯源与反制从日志到平台的完整链路溯源题几乎家家都问。回答思路可以统一为先看日志里有什么再到平台上查什么最后怎么关联。天融信问“溯源和应急”360问“如何响应溯源”。资料里给了一条比较完整的回答链路日志记录情况IP、时间、事件、恶意流量或恶意访问日志被攻击的地方即使修复使用威胁情报平台微步在线等必要时看流量特征确认被代理出来的数据流特征反制相关的追问也有比如“别人挂了代理怎么办”。如果你没做过真实溯源这块就是黑匣子建议去GitHub看应急响应思维导图把常见场景的排查顺序背熟。面试中遇到不会的反制问题诚实说“这块我只了解思路没有实操经验”比硬编一个答案更安全。5. 面试避坑与常见问题翻过车才知道的四个坑5.1 坑一把别人的经验包装成自己的被追问就穿帮HW面试几乎必问“谈谈你的HW经历”“印象最深的渗透项目”。很多人简历上没有实战经历就借朋友的案例。结果面试官一追问细节——日志从哪个文件看、用了什么平台、最后怎么处置的——立刻穿帮。我的建议是没有经历就直说然后把你最熟的实验环境或靶场案例讲透讲透一个真实做过的比编三个经不起追问的强。实在要参考别人的案例至少把里面的日志路径、命令、排查顺序背到滚瓜烂熟。5.2 坑二厂商设备名词说不清露馅长亭的题里明确问“作为蓝队护网过程使用过厂商的设备比如蜜罐、态势感知等”目的是看你对设备是否真的用过。常见翻车是说了在用某厂商的设备但问“态势感知和IDS有什么区别”“设备误报了你怎么处置”答不上来。青藤有一道好题“设备出现了误报如何处置”参考思路是先看设备的完整流量日志确认是否真异常有异常及时上报误报做好事件记录。回答这类题要突出你的处置流程而不是设备型号。5.3 坑三只会报答案不会讲链路比如问“拿到系统Shell后你会看哪些文件”只答“看配置文件”就太单薄。360和国誉网安都问了类似题目资料里给了很细的清单。Windows下要看C:\boot.ini系统版本、C:\Windows\System32\inetsrv\MetaBase.xmlIIS配置、C:\Windows\repair\sam初始密码、C:\Windows\php.ini等Linux下要看/root/.ssh/authorized_keys、/etc/shadow、/etc/my.cnf、/root/.bash_history等。回答时要分成“看版本信息、看配置、看凭据、看历史命令”几类面试官才会觉得你有实战习惯。5.4 坑四基础题答太快反而暴露没思考360的题里问“请求方式有哪几种”这题太基础了很多人脱口而出“八种GET、POST、HEAD、PUT、DELETE、OPTIONS、TRACE、CONNECT”然后就停了。这题其实可以讲出区别和场景GET和POST最常用TRACE容易引发跨站追踪攻击OPTIONS用于探测服务器支持的方法。多讲一句“这些方法在渗透测试中怎么利用”立刻拉开差距。基础题答出应用层才是复习这份资料的正确姿势。6. 考前一天怎么用这份清单把题海变成三个动作最后一天别想着一口气背完一百多套题。我的用法是先做减法再做场景化最后形成一张一页纸的清单。第一步按厂商画像表筛出你最可能面的三家只复习它们的高频问题。比如目标厂商是长亭就集中看内存马排查、敏感文件读取、反序列化原理三类题。第二步把筛选出的题改成“我的版本”留下通用原理替换成你熟悉的工具路径和流程。比如“如何排查WebShell”改成“先用findWebShell扫静态特征再看访问日志找异常返回200的URL最后用沙箱动态执行可疑文件”填上细节步骤大概是这种颗粒度。第三步做一张考前清单建议分四栏原理类、流程类、工具类、实战案例类。原理类主要快速过一遍漏洞成因流程类需要默写PDCERF工具类记日志路径和特征实战案例类准备好两个讲得顺的故事一个是你做过的渗透或靶场一个是你做过的排查或应急。这两条故事要包含时间、目标、方法、结果开场用“上次我在XX环境碰到过类似的情况”做钩子显得有真实经历。分享一个我自己的血泪习惯以前备考我也爱把题从头翻到尾后来发现效果很差。现在每次整理面试题我会强制自己把每一份题先做一道“如果我是面试官这道题追问会问什么”的标记再去组织答案。选两三道高频题自己开口讲一遍重要的动作讲的时候录音回放。这样踩过的坑不会再踩到面试现场。希望这份分析帮到你祝你这次HW有份好结果。本文还有配套的精品资源点击获取