安全研发备战笔记

做安全研发太难了。。。。
渗透得懂，开发得会，企业安全建设得精。
WEB渗透测试：
https://www.jianshu.com/p/bce07495b77c
https://blog.csdn.net/yexudengzhidao/article/details/93527586
https://blog.csdn.net/autumn20080101/article/details/51071945
企业安全建设：
看书吧，大型互联网企业安全建设 等等
开发内容就太多了。JAVA基础，高并发，JVM等，没事记得刷刷算法
https://www.cnblogs.com/williamjie/p/9099130.html
https://www.cnblogs.com/zhaosq/p/9857713.html
https://blog.csdn.net/xlgen157387/article/details/45044655
https://www.cnblogs.com/niceyoo/p/11074010.html
https://blog.csdn.net/sammie123321/article/details/97007895
https://www.cnblogs.com/bingshu/p/9789841.html
https://blog.csdn.net/zxd1435513775/article/details/80556034?depth_1-utm_source=distribute.pc_relevant.none-task&utm_source=distribute.pc_relevant.none-task
https://blog.csdn.net/aabbyyz/article/details/83722459
https://blog.csdn.net/GitChat/article/details/79019454
https://www.cnblogs.com/yuechuan/p/8984262.html
ES：
https://segmentfault.com/p/1210000009823111/read
redis:
https://www.cnblogs.com/zxs117/p/11242026.html
fastjson反序列漏洞原理：
https://www.cnblogs.com/Welk1n/p/11446519.html
算法：
时间复杂度：
https://www.cnblogs.com/zhangqb/p/10297882.html
https://www.xuebuyuan.com/3266498.html
线程，进程，协程：
https://blog.csdn.net/zlx_csdn/article/details/79886705
JAVA 动态代理：
https://www.jianshu.com/p/95970b089360
java 反射机制：
https://blog.csdn.net/a745233700/article/details/82893076
安全：
网站被黑溯源：
https://www.freebuf.com/news/179638.html
最后看一下人肉代码审计吧
威胁建模：
https://xz.aliyun.com/t/2061
内存泄露
算法：2个堆模拟队列，数据持续进行
zk 各种锁实现机制
kafka 原理
MySQL 原理
事物隔离级别
CC攻击原理：
https://www.cnblogs.com/wpjamer/p/9030259.html
https建立原理：
https://blog.csdn.net/qq_32998153/article/details/80022489
kafka 底层原理实现：和redis,rebitmq的不同
sqlmap 检测原理
nmap ping禁用的情况下如何实现探测，以及探测机制如何实现的
滴滴面试：
熟悉哪些常见算法
hmac 算法使用场景
系统间方法调用openkey + xx 请求返回来的数据就是hmac算法算出来的。
jwt oather2 等认证的不同之处，各自的优势在哪里
AES 算法的缺点 如果私钥泄露的话存在风险
证书授信，如何保证层层授信，授信之上的授信。。。
sping boot bean的实现机制，如何实现的
mybatis SQL 注入检测 $ 检测后判断# 号，什么情况下可以使用# 什么情况下不能使用#，底层如何实现的。
代码审计在一些自研框架上如何实现，数据流如何检测
java 反序列化漏洞：
讲讲java 反序列化漏洞
为什么java才有反序列化漏洞，别的语言没有
java都有哪些反序列的方式 RPC/json/
给你一个项目，讲讲如何做威胁评估
ssrf 通过DNS渗透方案
哪些类型的漏洞可以通过框架检测，哪些不行

问题：1.Java类加载机制
2.sync锁 用在方法上是锁的什么
https://www.cnblogs.com/showstone/p/4438539.html
3.hashtable currenthashmap区别
4.iast 实现机制
5.groovy类加载时有什么问题
6.groovy java类加载机制
7.内存泄露的原因都有那些
8.IAST RASP原理
9. https://mp.weixin.qq.com/s/nRAplKDI4vYaYlHKGnfW7w
10.算法篇。还知道那些算法。具体的使用场景
11.上传类漏洞如何根本解决
12.还熟悉哪些算法
这2个算法研究一下

1. 基于划分的Kmeans算法
   一种典型的划分聚类算法，它用一个聚类的中心来代表一个簇，即在迭代过程中选择的聚点不一定是聚类中的一个点。其目的是使各个簇（共k个）中的数据点与所在簇质心的误差平方和SSE(Sum of Squared Error）达到最小，这也是评价Kmeans算法最后聚类效果的评价标准。
2. 基于密度的DBSCAN算法

流量去重具体实现。算法上
组件检测问题：
1.同一个pom里面不同的层级引用相同的依赖
2.对于直接引入jar包的如何检测
代码检测：具体的fortify和chemarx区别。语法上的。太难了
很多人关注的还是扫描器的检测。扫描引擎和流量之间的如何打通关系。
流量去重后。再由引擎去消费。