腾讯等安全岗位面试经验汇总与技术解析

最新推荐文章于 2024-10-08 17:56:55 发布

阿贾克斯的黎明

最新推荐文章于 2024-10-08 17:56:55 发布

阅读量597

点赞数 8

分类专栏：网络安全文章标签：安全面试职场和发展网络安全

本文链接：https://blog.csdn.net/m0_57836225/article/details/142226591

版权

网络安全专栏收录该内容

269 篇文章 1 订阅

订阅专栏

在求职过程中，腾讯的安全岗位面试备受关注。本文将汇总腾讯 TEG 安全平台部、安徽移动市公司（涉及网络安全问题）以及腾讯云安全技术岗的一面面经，并对其中的问题进行详细解答。

一、腾讯 TEG 安全平台部一面

（一）面试内容

询问项目中数据清洗、质量评估、语料分类的细节，并提出恳切建议。
八股部分：询问 ROC 曲线和 FastText 原理，其中 ROC 曲线问题未回答上。
代码题：手撕 LeetCode 122，没什么压力。
全程 40 分钟结束。

（二）问题及答案

FastText 原理：FastText 是一种用于文本分类和词向量表示学习的快速文本分类器。它基于词向量的平均和 n-gram 特征来表示文本。首先，将每个单词表示为低维向量，然后通过对文本中所有单词的向量进行平均得到文本的向量表示。此外，FastText 还考虑了 n-gram 特征，即将连续的 n 个字符或单词作为一个特征，以捕捉局部的词序信息。最后，使用线性分类器对文本向量进行分类。

二、安徽移动市公司一面（涉及网络安全问题）

（一）面试内容

自我介绍。
求职意向。
是否有 offer。
专业知识：网络安全法律法规有哪些？防火墙技术有哪些？两个问题均未回答上。

（二）问题及答案

网络安全法律法规有哪些？：《中华人民共和国网络安全法》是我国网络安全领域的基础性法律，明确了网络运营者的安全保护义务，规定了网络产品和服务提供者的安全责任，以及网络安全事件的应急处置等内容。《中华人民共和国数据安全法》主要针对数据安全保护，规范数据处理活动，保障数据安全，促进数据开发利用。《中华人民共和国个人信息保护法》保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用。
防火墙技术有哪些？：包过滤防火墙根据数据包的源地址、目的地址、端口号等信息进行过滤，决定是否允许数据包通过。状态检测防火墙在包过滤的基础上，增加了对连接状态的检测，能够更好地识别和防范网络攻击。应用层网关防火墙也称为代理防火墙，通过代理服务器对特定的应用层协议进行过滤和控制，提供更细粒度的安全防护。下一代防火墙融合了多种安全技术，如入侵检测与防御、虚拟专用网络、应用识别等，提供更全面的安全防护。

三、腾讯云安全技术岗一面（实习岗，已过）

（一）面试内容

自我介绍。
大模型的项目：介绍毕设项目、未来发展方向（大模型方向还是安全方向）、项目是否落地及如何实现、将大模型应用于项目中是否有必要。
运营的工作是什么，如何去做。
SSRF 的原理、危害、绕过、防御。
SQL 注入的存储型注入。
流量分析会吗？用什么工具。
渗透测试在哪学的。
端口范围是多少，为什么是这个范围。
熟悉的是哪种语言，用来干什么。
要写一个端口扫描的脚本，不要调用 nmap，如何实现。
未来发展规划。
可实习时间。

（二）问题及答案

介绍毕设项目：根据实际情况详细介绍毕设项目的背景、目标、技术架构、实现过程和成果。
未来发展方向（大模型方向还是安全方向）：根据自己的兴趣和职业规划，阐述对大模型方向和安全方向的看法，以及自己更倾向的发展方向。
项目是否落地及如何实现：如果项目已经落地，介绍项目的应用场景和实际效果；如果项目未落地，阐述实现项目落地的计划和步骤。
将大模型应用于项目中是否有必要：分析大模型在项目中的优势和局限性，以及是否有必要将大模型应用于项目中。
运营的工作是什么，如何去做：安全运营的工作包括安全监控、漏洞管理、事件响应、安全培训等方面。具体做法是建立安全监控体系，及时发现安全事件；定期进行漏洞扫描和修复，确保系统的安全性；制定事件响应计划，快速处理安全事件；开展安全培训，提高员工的安全意识和技能。
SSRF 的原理、危害、绕过、防御：
- 原理：服务器端请求伪造（SSRF）是一种由攻击者构造请求，由服务器端发起请求的安全漏洞。攻击者可以利用 SSRF 漏洞，让服务器端向任意地址发起请求，从而获取内部网络的信息或攻击内部网络中的其他系统。
- 危害：可以获取内部网络的敏感信息、攻击内部网络中的其他系统、绕过防火墙等安全设备。
- 绕过方法：
  - 利用 URL 解析的不一致性：不同的 URL 解析库对 URL 的解析方式可能不同，攻击者可以利用这种不一致性来绕过 SSRF 防护。
  - 使用 IP 地址的不同表示形式：如使用八进制、十六进制表示 IP 地址，或者使用域名的别名等。
  - 利用协议的特殊性：如利用 FTP、FILE 等协议的特性来绕过 SSRF 防护。
- 防御措施：
  - 限制请求的目标地址：只允许服务器端向特定的地址发起请求，如内部网络中的服务地址。
  - 验证请求的合法性：对请求的 URL 进行验证，确保其符合预期的格式和范围。
  - 禁用不必要的协议：如禁用 FTP、FILE 等协议，减少攻击面。
SQL 注入的存储型注入：存储型 SQL 注入是指攻击者将恶意 SQL 代码存储到数据库中，当其他用户访问包含该恶意代码的页面时，数据库服务器执行恶意 SQL 代码，从而导致数据泄露、数据篡改等安全问题。例如，在一个留言板系统中，攻击者可以在留言内容中插入恶意 SQL 代码，当管理员查看留言时，数据库服务器执行恶意 SQL 代码，获取管理员的权限。防御措施是对用户输入进行严格的过滤和验证，使用参数化查询，避免拼接 SQL 语句等。
流量分析会吗？用什么工具：流量分析是指对网络流量进行监测和分析，以发现潜在的安全问题。常用的流量分析工具有 Wireshark、Tcpdump、Snort 等。这些工具可以捕获网络流量，分析数据包的内容，检测网络攻击和异常行为。
渗透测试在哪学的：可以通过在线课程、书籍、博客、实践等方式学习渗透测试。推荐的学习资源有 OWASP（开放式 Web 应用程序安全项目）、Kali Linux 官方文档、《Web 渗透测试实战：使用 Kali Linux 和 Metasploit》等书籍。
端口范围是多少，为什么是这个范围：端口范围是 0 - 65535。其中，0 - 1023 是系统端口，也称为 well-known ports，这些端口通常被系统进程或一些常用的服务占用。1024 - 49151 是注册端口，这些端口可以被用户进程或一些特定的服务占用。49152 - 65535 是动态端口或私有端口，这些端口通常被一些临时的应用程序使用。
熟悉的是哪种语言，用来干什么：根据自己的实际情况回答熟悉的编程语言，如 Java、Python、C++ 等。介绍该语言的主要应用场景，如 Java 可以用于企业级应用开发、Python 可以用于数据分析和机器学习、C++ 可以用于系统级编程等。
要写一个端口扫描的脚本，不要调用 nmap，如何实现：可以使用 Python 的 socket 模块实现端口扫描。具体步骤是遍历需要扫描的端口范围，尝试连接每个端口，如果连接成功，则说明该端口开放。
未来发展规划：根据自己的职业目标和兴趣，阐述未来的发展规划，包括短期和长期的目标。
可实习时间：明确自己可以实习的时间段。