年薪10万美元的黑客（渗透测试）面试问这些问题？

0x00

海外搞安全的工资这么高[海外安全行业工资水平怎么样？]，非常好奇他们面试都问一些什么问题，于是又顺便去搜索了一下，看看难度怎么样？

以下面试题目为Amazon的Penetration Testing岗位，数据来源来于glassdoor.com，国外的一个给打工人提供信息的网站。

0x01

1、What potentially issue exist with Java deserialization, why can it be exploited and how can it be mitigated?

Java 反序列化存在哪些潜在问题、为什么会被利用以及如何避免？

这个需要对Java序列化有一定的理解才可以答好这个问题，不仅要会用，还要说明为什么。

2、Symmetric vs Asymmetric cryptography? Encryption vs Signing? Is it possible for encryption to take place without signing?

对称加密与非对称加密的区别，加密和签名的区别？是否可以在不签名的情况下进行加密？

前面的区别还好理解，说实话最后一问没有看明白什么意思？

3、You have a docker setup with various clients files on it. What are the possible attacks there?

你有一个 docker 配置，上面有各种客户端文件。这里可能可以进行哪些攻击？

这部分主要考察的是容器安全，没怎么接触过，完全没思路- -!

4、The RFC for the GET request mentions: "The GET method means retrieve whatever information (in the form of an entity) is identified by the Request-URI." What is the possible issue here?

GET 请求的 RFC 提到：“GET 方法意味着检索由 Request-URI 标识的任何信息（以实体的形式）。”这里可能出现什么问题？

这个题目我也是一脸问号，不知道想要考察什么问题，专门去查了一下，大部分回答说的是：泄漏敏感信息以及CSRF~

5、Describe me a bug you recently found in the code?

描述最一近一次在代码（代码审查？）中发现的bug？

这个应该是指代码审查中发现的问题？

6、solve a problem with using a scripting language in a simple online text editor.

使用线上编辑器现场写代码解决问题

这应该是所有题目里面最可怕的了吧！！现场写代码，对于来说也是噩梦！

0x02

各位师傅们怎么说，Amazon的这个面试难度相比国内如何？

---

欢迎关注我的公众号“混入安全圈的程序猿”，更多原创技术文章第一时间推送