大二面试经验&&实习经历&&总结

0x00 写在前面

       2020年是特殊的一年，新冠病毒全球爆发。在这个大背景下，经济形式自然不会乐观，对于大学生来说，最现实的问题就是实习难、找工作难。在此期间，我作为一个一心想要走安全的路线的大二学生，迫切希望能得到一个实习的机会。因为大一就加入了学校的网安实验室，因此有更便捷的投简历的方式，通过远程电话面试，我较为顺利的获得了XXX公司的offer，实习对抗防御工程师，开启了实习旅途。以下内容仅代表个人见解，不喜勿喷。

 

0x01 写简历

       想要被面试自然首先就要写好简历。我敢确定，对于那些大学期间在寝室打游戏、睡觉、吃外卖度过的，绩点又不高的同学在写简历的时候一定是大学期间内心最慌的时候：因为没有学生会经历，没有班干部经历，没有参与过社团，成绩又不出色的同学在第一次写简历时就会发现：没有东西可写......整个简历的页面会十分空洞，加上各大简历网站的模板上都有一句“绩点若不突出建议不写”的提示，会发现没有任何经历的大学生写简历真的无从下笔。

        对于写简历这件事，我是第一次经历，也差不多用了一个星期：到各个网站找模板，不断修改简历格式，修改内容，加上学长学姐的指导，总算完成了一个有点像那么回事的简历。这里对于没有任何实习就业经历的大学生写简历，总结出几点：

1、简历可参考：个人简介（配证件照）、求职意向、教育背景、专业技能、证书奖励、校园经历、自我评价六大模块写

2、并不是写的越多越好，校园经历这一块重点写大学期间担任的班干部、参与的学生会、社团等，语言简洁明了不拖沓

3、对于大学期间的成绩，如果绩点很高可以提一嘴，不是很高建议不要突出这块内容或是不写也行

4、重点强调个人能力，尤其在自我评价这一栏强调自学能力强（不管自学能力强不强，请统一写自学能力强！公司很看重大学生的自学能力），另外在证书奖励模块重点写在大学期间获得的与本次实习有关的奖项或参与的比赛，在专业技能模块可以适当吹牛（但不要过火，因为面试专业问题问答环节会基本按照简历上的来，简历上写到的技能基本就会被问到。注意措辞，少用或最好不用熟练掌握、完全掌握、精通等字词，用了这些词被问倒了是很“掉价的”，当然有足够实力的可以忽略这一点），提交简历到面试这一段等待时间还可以恶补。

5、简历层次明确，分条分点（网上有的简历模板也很垃圾，自己判断)

 

0x02 面试

       投递简历后到接收面试这一段时间内的等待过程是“漫长”而“焦虑”的（因为疫情原因，这次面试采用的是电话面试，因此我也没有学习现场面试要注意的东西，这里只做电话面试内容的分享），但请不要在这一段时间内闲着，需要恶补专业知识和技能。我在这段时间编辑了一个文档，内容包括面试可能被问到的专业问题。

       接到面试电话是在投简历大概两周后（可见时间还是挺长的，抓紧时间恶补），面试的流程大概为：简单的自我介绍，专业技能问题、实习地点和薪资：

• 自我介绍不用多说，简洁、明了即可，重点在专业技能问答
• 专业技能问答环节自然是最重要的，面试官最看重的是对于漏洞原理的理解程度，不是很看重对于实际情况的处理。例如：

  面试官：在进行SQL注入时，如果空格被过滤要如何处理？
  我：可以使用%20
  面试官：如果不允许使用%20呢？
  我：......这个不是很清楚。
  面试官：如果=被过滤了呢？
  我：可以用like或者regexp
  面试官：那这两个也被过滤了呢？
  我：......这个确实也不太清楚
  

  这样类似的问答很多，可以说大部分答的都不好，但是我对于基本的漏洞原理理解非常准确且有一定的深度，也能用语言表述清楚（能否用语言表达清楚也十分关键！不要觉得自己是理工科就不需要超强的语言表达能力），因此面试完后面试官说他对此次面试较为满意，因此一轮面试就过了不需要二轮面试，基本上就是等通知了。

• 疫情原因实习地点限于深圳、广州，可以自己选择。最后选择了更具有历史和文化的广州参与实习。对于薪资问题，面试官问我期望薪资是多少，我没有回答，因为实验室的学长学姐已经给我们打过预防针，之前有一个学长因为嫌薪资太低而没有被录取，所以安排是多少就多少了。

确定被录取和等待offer这一个过程也是“漫长”而“焦虑”的，甚至要去让面试官去催，所以......慢慢等吧

 

0x03 实习历程

• 第一周：搜集tomcat，apache历年的CVE漏洞，制表（认证课程开发——中间件漏洞测试准备工作）
• 第二周：本来应该复现漏洞的，结果学校要求线上考试，请假参加考试（艹）
• 第三周：参与交付一线渗透测试文档的撰写（红队服务方案：2天），参与扫描器的制作（是项目经理在github上面的一个项目），Ubuntu上搭建vulhub环境和fastJSON环境，复现列表中收录的漏洞并提交POC，最后vulhub环境搭建成功，fastJSON未成功（防守方工具开发：3天）
• 第四周：重新转到支持认证课程开发的项目，在虚拟机上使用docker复现tomcat漏洞，包含CVE-2017-12615、CVE-2020-1938、CVE-2020-9484、tomcat8弱口令、tomcat存在事例页面，交付实验指导书、dockerfile（要求环境能开机自启，各个环境能同时开启端口不冲突），环境搭建文档以及ppt（认证课程开发——中间件漏洞测试）
• 第五周：在虚拟机上使用docker复现weblogic漏洞，包含CVE-2014-4210、CVE-2017-10271、CVE-2018-2628、CVE-2018-2894、weblogic管理界面弱口令、CVE-2020-2551、CVE-2020-2555，同样需要上交相关的交付文档（认证课程开发——中间件漏洞测试）

        第四、五周开始加班较多，主要原因包括：对于Linux不熟悉、对于docker不了解不熟悉、对于交付文档的编撰规则不熟悉（导致第一次需要上交的文档被打回来3次，但熟悉之后第五周只用了一天半的时间就完成了第四周一周的工作量）、对于不熟悉的漏洞需要大量百度谷歌github、虚拟机较卡。中间件漏洞测试是为马上到来的HW做准备工作。导师和上级对于第四、五周我所完成的工作较为满意。

• 第六周：HW前准备工作，培训+自主学习

        第六周的领导谈话大致部分内容：大部分互联网类的公司招聘员工，对于目前技能掌握情况、本科学校的层次、在校的绩点等并不是非常关心，关心的是个人的实习经历，参与过的项目，最关心的是个人的眼界、目标以及自学能力，因此对于互联网类公司的招聘，面试官是非常喜欢转专业的人（证明此人自学能力强）。将来工作的第一家公司不能只看薪资，应当看重第一家公司所能带来的视野以及这家公司主打的业务在将来的发展趋势，IT行业固然好，因为IT行业发展的速度大大超越其他许多行业，正因为发展快，所以不能认为IT行业所有方向都能拿稳饭碗，在IT行业中做好选择是十分必要的，许多人说IT行业的红利已经被分完了，现在进入IT行业并不好，其实这是眼界不够的人才有的想法，就如同当年19世纪末许多物理学家说物理学的大厦已基本建成，留给后人的只是添砖加瓦一样。计算机安全领域的发展迫在眉睫，随着量子计算机、生物计算机的出现，加上数学界的不断发展，安全领域可能随时需要重构体系，因此，至少在未来很长一段时间内，安全领域会经久不衰。

        因为实习的职位是对抗防御工程师，因此免不了与红蓝对抗打交道。所谓红蓝对抗，最早是一种网络攻防的游戏，现在将其应用在HW上。在中国，较为准确的说法是蓝队是进攻方，红队是防守方，在有限时间内以某个要检测的公司的网络环境为背景，进行网络攻防的演习，结束后会生成一个报告上交至公安。HW已经成为国家层面的对大型重要企业的关键基础信息设施安全性的检测手段，因此每年到了HW的时间段，互联网安全公司就会忙碌起来，员工会到全国各地出差参与HW。

• 第七周：HW准备工作，自主学习

        已经基本确定前往上海HW的时间

• 第八周：HW前准备工作，出发前往上海，熟悉现场环境，设备使用方法

这里我只想说，上海受季风影响太大，夏季的时候如果没有台风温度真的太高了.....

• 第九周：HW启动，参与研判工作

        这里不便叙述，但估计作为年纪最小的参与HW的人员，一开始就被安排为研判人员多少还是有点紧张......

0x04 写在最后

       第一点一定要注意！看清入职第一天要跟公司签署的合同的内容：一是避免上当受骗；二是要防止合同中出现的种种陷阱，导致被公司压榨。因为之前已经有过学长学姐在这个公司实习过，所以这个公司的合同应当没有什么问题，不过我还是认真的阅读了每一条（具体怎么“排雷”还是要在网上学一学，我也没有研究...）。还有就是作为实习生，只能签劳务合同，简单来说就是超过工资800的部分扣税20%（不过目前政策改变，实习生不扣税），一线城市餐补是每天20元，其余城市一天15元，在签合同的时候这个要问清楚。

       作为学习计算机类专业的学生，最尴尬的两件事情莫过于不会装操作系统、使用office不熟练。且不说会不会装操作系统，对于office的各项功能一定要熟悉，因为不管今后进入了哪一家互联网公司，都无法避免使用office，因为自己的工作成果都需要通过word、excel、PPT来展示，所以抓紧练习。

       生活、工作中有很多小技巧和小智慧等待我们来发现，就拿坐电梯这件事情来说：公司在15楼，因为人太多，四个电梯采取分高底层的方式来运行，低层电梯可达1~16楼，高层电梯可达16~26楼，如果想早上“多睡一分钟”，可以选择坐高层电梯，到16楼后再步行下一层楼梯即可，因为如果坐低层电梯，可能从1楼到16楼要停15次，虽然能直达15楼，但浪费更多时间；另一个就是写字楼办公人太多，高峰期经常遇到的情况是挤不上电梯，那么为了能让电梯能经过自己所在的楼层就停下来，可采取的方法是不管要上楼还是下楼，把上下键全部按亮，这样可以保证只要电梯经过自己所在的楼层就会停下来，这样有更多机会挤上电梯。

       广州作为四大一线城市之一，消费水平自然不会低，最先需要解决的问题就是住宿的问题。如果只是实习两、三个月，建议不要找房子租了，可以选择住在价格不算很高的酒店（酒店不用额外交水电费和物管费、垃圾费什么的，每天还有人帮忙打扫卫生），和前台讲讲价，包两到三个月价格还可以便宜一点。如果是长期实习或者开始工作了，建议一次也不要签太长时间的租房合同（如果打算且又能力买房了可以忽略），因为公司地址可能会存在变迁的情况，一搬迁可能就到另外一个区了，早高峰和晚高峰上班挤地铁很麻烦。

       周末和同事出去玩（基本是实习生，有一个正式员工），其中一个刚参加完XX公司的笔试，他应聘的职位是运维，但是考核内容是4道手写算法题，连运维都只考算法，由此可见算法对于学计算机的同学来说有多重要（要开始恶补数据结构了）。另外，其余的实习生基本都是大三大四了，并且大多是广州本地人，之前有过实习经历，他们一致认为在北、上、广、深四个一线城市中最适合生活的还是广州，房价、物价最低，出行最方便。

       最后，最重要的一点：要么拥有别人无法替代的经验，要么拥有别人无法超越的理论和技术，才能“屹立不倒”。