面试经验分享信息安全资料.docxVIP

面试公司：某汽车公司

所在城市：北京

面试职位：渗透测试工程师

面试官问题：

1.自我介绍

答：自我介绍面试必问问题，多介绍自己项目上突出的地方以及你以后的发展方向。

2.CSRF和SSRF的区别以及修复方式

答：原理：CSRF为客户端的请求伪造，他是通过攻击者构造恶意Payload诱骗在登录状态下的管理员去点击触发，最常见的就是XSS+CSRF打组合拳。SSRF为服务器端的请求伪造，产生原因是由于服务器端对参数的过滤不严格，导致攻击者可以构造恶意Payload去访问外网无法访问的资源。一般用来探测内网服务、开放端口或者是使用伪协议读取本地文件。

区别：CSRF与SSRF的主要区别就在于发起