渗透测试实习面试题

1、用python写过什么攻击脚本
2、对java了解到什么程度
3、如何在=过滤的情况下sql注入
用like、regexp
4、文件上传漏洞：后端验证后缀名的几种方式（没答好）

1. 通过后缀名

2. 通过读取文件，获取文件的Content-type来判断。

3. 通过读取文件流，根据文件流中特定的一些字节标识来区分不同类型的文件。

4. 看是否能获取图片流判断图片

5、Xss的原理及防御、利用方法
6、被攻击服务器在不通外网的情况下，如何盲注，检测是否存在xxe漏洞
利用dtd
7、Sql注入方式、防御、盲注、针对一些过滤的绕过
8、命令执行漏洞一些命令分隔符、原理
回车符、换行符、%0a
9、场景：公司网站突然发现webshell，如何做好应急措施