面试经验分享信息安全资料.pdfVIP

面试公司：某汽车公司

所在城市：北京

面试职位：渗透测试工程师

面试官问题：

1.自我介绍

答：自我介绍面试必问问题，多介绍自己项目上突出的地方以及你以后的发展方向。

2.CSRF和SSRF的区别以及修复方式

答：原理：CSRF为客户端的请求伪造，他是通过攻击者构造恶意Payload诱骗在登录状

态下的管理员去点击触发，最常见的就是XSS+CSRF打组合拳。SSRF为服务器端的请求

伪造，产生原因是由于服务器端对参数的过滤不严格，导致攻击者可以构造恶意Payload

去访问外网无法访问的资源。一般用来探测内网服务、开放端口或者是使用伪协议读取本

地文件。

区别：CSRF与SSRF的主要区别就在于发起请求的目标不同，一个为客户端，一个为服

务器。而且SSRF主要利用与内网探测。

修复方式：CSRF：首先是验证求中的referer值（不推荐）或者是在关键GET或POST；

请求中加入随机Token校验。SSRF：限制请求只能是http或https、限制不能访问内网

IP再者就是限制后端打印返回信息。

3.说一下你在实战中遇到的比较典型的漏洞。

答：这种问题可以回答你在项目或者SRC上挖到的比较有意思的漏洞或者自己认为很有成

就感的挖洞经验。

4.说一下绕WAF的常见手段