简历：
投递简历的时候详细描述了参加过的比赛及在校期间参加的一些项目情况，顺利的通过了简历的筛选。
一面（技术面试）：
面试官-黎健欣（观星实验室 web ）
问题一：简单的描述一下信息安全学习经历
从大一入学开始接触和学习信息安全，期间一直以打 CTF 比赛为主，近半年跟着指导老师一直做产品。
问题二：简单描述一下渗透测试一个网站的步骤（主要问题）
1.信息收集：
① 对目标的 IP，系统，端口，WAF，安全狗等基本信息进行识别
② 查询网站的 whois，子域名，旁站，C 段等信息
2.漏洞挖掘：
① 对网站的中间件进行识别，根据中间件的版本判断是否存在响应的漏洞；弱口令爆破相关的界面。
② 对网站的目录及敏感文件进行扫描，判断是否存在文件泄露类型漏洞
③ XSS SQL CSRF SSRF 文件上传 任意文件下载 等技术细节：
·利用 XSS 可以做什么：
弹窗、植入 webshell、窃取用户 cookie 等秘密信息、诱导管理员增加或删除相关的信息。
·如何防止窃取 cookie：
将 session 的过期时间设置短一些；
监控 referrer 与 userAgent 的值；
使用 HttpOnly 禁止脚本读取 Cookie。
·SQL 注入可以做什么：
读取数据库中未经授权访问的内容
获取 webshell（这个很重要）
·SQL 注入获取 webshell 的方法：
详见另一篇博客中的 mysql 提权方法（https://co0ontty.github.io/2019/05/06/resttudy.html）
·怎么判断网站是否存在 SSRF 漏洞：
详见另一篇博客中 SSRF 漏洞的解析（https://co0ontty.github.io/2019/05/06/resttudy.html）
3.漏洞利用
4.清除测试记录
5.复测，提交报告
二面（技术面试）：
面试官-田跃
