18个信息安全岗位面经合集+一点找工作总结

这个帖子主要记录面经，信息安全方向的学习就业细节之后再另发帖子。底下有一点和找工作比较密切的总结。这个面经合集总共有18个岗位，14个是我自己的（3个全职+11个intern），全职的少点，因为我面了四家就确定了，然后我没把我最后去的那家放出来所以就三个，Intern的岗位多点，因为找到最后因为疫情和各种奇怪原因我暑期没有做intern，所以就一直投，不过也只是去年春招开始投的，秋招并没有投，错过了好时机。其他岗位面经是我同学和朋友的，所有人都是国内本科+美国硕，只有一个人本科是安全，无特别身份，特意提这个是因为总有人说在美国找安全工作因为身份问题不可能找到。除了一人回国外都在美国就职安全岗位。面经里就不说公司的名字了，因为一些岗位是内推的，另外对于信息安全岗位我们不能像sde一样通过了解题库直接面试默写，但是岗位名会记录并最后总结不同岗位类型的特点。

full-time：
1.        Software security engineer
电面
1. HMAC的原理        2. HMAC和SHA256的区别        3. 描绘了一个服务和数据库的数据传输过程，你会如何确认数据的完整性        4. 如果只简单的对数据进行哈希，然后比对哈希值来确认完整性，这样足够好吗？攻击者会怎么做？        5. HMAC使用了对称密钥还是非对称密钥        6. 你能不能给我讲解下你对于安全的不同领域，web security，network security，system security，其他的领域是怎么分别学习的？        7. 当你访问一个网站，整个的过程是怎么样的，结合OSI model。8. DNS协议都做什么？是怎么运作的？        9. 你知道有什么针对local DNS server的攻击吗？        10. 如何预防这种local DNS攻击？
onsite 1
1. 做过什么代码审计吗?        2. 你现在熟练的语言有什么，对C语言掌握怎么样？        3. 审计四五段C语言代码，找漏洞，C语言很久没用了，简单找了些可能的输入检查和进程安全的问题，没啥印象了        4. 什么是SQL注入        5. 写一个基本的SQL注入语句                6. 如何防止SQL注入        7. 威胁建模，一个客户端一个服务端尽可能地说出可能的攻击方式，说完了一个接着问有没有别的攻击，说完了又问说完了又问。。。最后我硬凑了超过十个好像？        8. 你了解STRIDE威胁模型吗，根据这个模型讲讲可能的威胁
onsite 2
1. 我脑子里想了一个rule，你每次问我三个数为一个序列，我会回答你这个序列是否符合这个rule        2. 根据你的熟悉度给以下五个排序：密码学，网络安全，SQL注入，XSS攻击，二进制漏洞，我排序后从我最不熟悉的开始问        3. 讲下缓冲区溢出攻击        4. 为什么对于缓冲区溢出攻击，为什么攻击者想要找到return address，攻击者会把恶意代码放到哪，攻击者找到return address的位置后干啥，咋继续攻击        5. 讲下SQL注入攻击        6. 说一个基本的SQL注入语句                7. 不知道数据库里表的名字的话，如何构造一个修改表的注入语句        8. 如何防止SQL注入攻击        9. 讲下密码学里的padding oracle是什么，padding oracle attack是什么        10. padding oracle如何保障integrity        11. 先加密再哈希还是先哈希再加密，你选哪个机制        12. 如果按照你的机制，你发送了数据，接收方怎么做        13. padding在加密中的过程        14. 讨论TCP和UDP在安全性方面的特点        15. TCP的最初始序列号怎么设的，为什么是随机的        16. 讲一个你认为有趣的技术话题        17. 讲一个你遇到的有挑战性的事，你学到了什么
onsite 3
1. 设计美国的线上投票系统，边讨论边问答，主要看我能想出来多少        2. 先设定下功能都有什么，比如统计目前每个候选者有多少投票，用户信息，候选者信息，认证功能        3. 先在代码平台上写些伪代码设计类，函数，数据库表        4. 一些约束，一些检查，投票者成年了，只能在一个州投票，用什么信息来验证候选者，这个用户投过票了吗，只能投给一个候选者        5. 考虑很多问题，电子邮箱认证可行吗？攻击者用VPN怎么办？电话短信认证可行吗？生物信息认证可行吗？第三方认证对这个系统靠不靠谱？如何节省成本？        6. 讲下TLS的handshake过程        7. 讲下RSA原理，为啥RSA目前安全        8. 讲下diffie hellman的密钥交换原理，为什么安全        9. 讲下CSRF攻击，这个是client端的问题还是server端的问题，如何防护        10. 讲下shellshock攻击，什么情况下可以攻击成功，如何防护，你之前的项目怎么发现shellshock漏洞的
onsite 4
1. 编程题，把数组里的0移到数组后面        2. 你对SDL了解怎么样        3. 你为什么对安全有兴趣，你对安全哪个领域有兴趣，你对我们公司我们组有什么看法        4. 你对packet injection有什么了解        5. 又提了一个什么网络攻击，没听过，像个人名，又又提了一个什么网络攻击，专有名词没听懂        6. 讲下容器和虚拟机的区别        7. 讲下你对IOT的了解，我本科IOT        8. 讲一个你做过的项目经历，但你做的时候没有足够的信息和指导        9. hr团队要搞一个网站让雇员能update自己的什么信息，hr也能查看，有个雇员信息的数据库，你如何设计这个系统        10. 如何从hr数据库提取信息，如何确认API的authentication，如何从用户拿数据，用webform？        11. 如何防御sql注入，xss攻击，CSRF攻击        12. 如何防止被data tampering

2.        Security engineer
1. 你感兴趣的信息安全领域        2. 你对AWS感受怎么样，了解哪些服务。        3. 如果让你在AWS上构建一个VPC，你会怎么做        4. 讲下sql注入的原理，如何防范这个攻击，如何在服务器端防范这个攻击        5. 讲下XSS攻击的原理，如何防范        6. 看到你简历上有给网站做了一个google的第三方认证，使用的oAuth，能不能介绍下怎么做的        7. 你平时如何了解最新的信息安全技术和相关新闻        8. 如果让你评判自己的编程水平，1-10，你会怎么评价？        9. 看到你有使用Go的编程经验。你对Go语言有什么看法？        10. 你了解HIDS和NIDS吗？介绍下。相对于NIDS，HIDS的特点是什么？        11. 介绍一下你做过的CTF        12. 讲解一下你之前一个项目防范CSRF攻击，是怎么做的        13. 你对Kubernetes有了解和使用经验吗？        14. 讲解下IDS和IPS的区别        15. 介绍下XSS的不同类型        16. 对Ruby和Ruby on rails有了解吗        17. 讲下你之前做过的一个网站的登录机制，对cookie是怎么操作的

3.        Security engineer
OA三道算法，一道easy，两道medium以上
电面写一个大概的AES加密程序

Intern:
1.        Security engineer intern
OA三道题，挂了，印象不多

2.        Security engineer intern
录了个视频回答一些关于信息安全的问题

3.        Cybersecurity intern
OA题里有问答题涉及计算机基础，AI，数据库。编程题是数据库相关的复杂一些的题，不记得了
偏数据分析的岗位

4. Cloud security engineer intern
1. 过简历：
    讲解network security项目
    讲解practical课程项目，讲解AES-ECB，讲解padding attack
2. 如果有个web server，开放什么端口给外部，开放什么端口给administrator        3. 都上过什么课        4. 上了几个学期        5. 如果有个web server，怎么设计架构保障安全        6. 介绍CIP (critical infrastructure protection)课程学了什么        7. 介绍ethical hacking课程学了什么

5.        Security software engineer intern
三道medium左右OA
过了约面试却因为疫情面试取消

6.        Security engineer intern 偏Web
1.对称加密 vs 非对称加密        2.为什么使用diffie hellman， 其原理        3.数字签名的作用 数字签名使用什么key签 数字证书        4.http头都有什么信息                5.http的get post        6.sql注入，如何检测可以sql注入 常用数据库的通用表 如何sql注入        7.xxe具体步骤 xxe高级hack        8.简历上的项目        9.讲讲做过的ctf        10.web的session是什么        11.java经验        12.python经验
13.web开发经验

7.        Security engineer intern
一面：
   1. 简历挑项目问        2.为什么选择他们公司        目前专注学什么        3.如何绕过防火墙        4.了解heartbleed，shell shock漏洞吗        5.了解splunk吗         6.ecryption和encode的区别        7.了解自动化监测吗        8.编程语言的经验和偏好        9.玩什么游戏吗        10.了解AI吗
二面：
1.公司里如何检测分析入侵情况        2.公司里如何利用forensics        3.非对称加密和对称加密        4.tls的加密方式        5.encryption，encoding，hashing的区别        6.python分析邮件7.编程python分析大字符串        8. 编程python比对两个list里的相同单词，这两道题都有很多附加条件，对方斯里兰卡口音都没听懂        9. linux的熟练度，如何用linux寻找自己系统里的端口情况
10.介绍下打的ctf        11.喜欢的安全方向        12.安全是喜欢做分析还是写代码        13.介绍下你觉得做了很多coding的项目        14.有申请哪些公司

8.        Security engineer intern 偏区块链
一面：
   1.如果让我传递一个很大的zip文件怎么设计，用什么非对称加密，用什么对称加密        2.hash和encryption的区别        3.网站密码怎么保存，为什么用哈希保存密码        4.描述xss，怎么保护5.网站怎么保护cookie                6.描述csrf        7.防御xss，应该在客户端防御还是服务端防御        8.描述下tls的handshake        9.有aws使用经验吗        10.描述下参加的ctf，你做ctf的什么题        11. 做过什么逆向        12.做过什么二进制漏洞挖掘        13. 描述下区块链        14.你知道最近发生的区块链大事件吗        15.知道除了比特币的prove of work之外，其他的区块链机制吗        16.你想编程还是安全研究        17.有网站开发经验吗        18.懂网站开发框架吗        19.在linux里wireshark没有界面，你怎么分析文件                20.linux的login记录存在哪，config文件存在哪
21.http和https的区别        22.什么是PKI

9.        Cryptography research intern
电面：
1．diffie hellman原理        2.ecdh和dh区别        3.tls1.3一些原理        4.rsa在tls里怎么运用的        5.go的使用经历        6.觉得最喜欢的项目        7.挑了一个项目问问        8.如何证明你是个注重细节的人        9.对公司的了解，对我们组的了解        10.rsa和dh的区别        11.PKI是什么

10.        Security engineer intern
1. encryption和hashing的区别，分别描述他们的应用        2. 描述一个你很自豪的项目        3. 描述一个你项目中遇到的困难，如何克服的        4. 你现在最喜欢的安全领域是什么        5. 你有什么AWS使用经验吗        6. 你对于顶层的安全和底层的安全有什么想法        7. 描述下你的个人特性

11. Security software engineer intern
两道medium以上OA
过了约面试却因为疫情面试取消

12.        其他
还有两三个类似上面这种岗位，只做了OA，其实就和sde一样，然后没信了所以没啥记录

朋友们的面经：
1.        Security engineer intern
一面：
    主要是socket 编程  序列化 去序列化        network security知识        认证过程
    写代码：
        几段数据通过eof来作为标识符了解信息发送完毕        如何处理 识别header， tcp如何处理header
    PKI是什么
    讲述项目
二面：
    编程：括号匹配
web security大量知识

2.        security engineer intern
first interview(hr):
    talk. talk with previous projects
second interview(tech):
    log search -> using binary search if could be sorted         ssh原理         apache原理          forensics相关 注册表  预加载文件         https process        内存访问

3.        security & compliance intern
1 自我介绍        2 是否了解CIS standard        3 assessment 的作用        4 对公司哪个方面比较感兴趣
5 你觉得你学到的知识能够怎么应用在未来的实习中                6 login 安全        7 network segmentation        8 编程语言 项目

4.        security engineer intern
OA：
两道算法题medium左右
电面：
1. IOT安全：有手机app，iot摄像头，远程服务器，还有家里的WiFi，这四个设备交互过程中的安全问题        2. 聊做过的项目        3. https和证书验证


总结和感悟：
1.        信息安全岗位练不练编程？
信息安全工作对编程的要求可以说是从0编程到和sde工作完全一样，这点也会体现在面试的考察点上。即使是没有编程需求的岗位也很多对于看代码的需求是很大的，看代码的难度有多高相信大家也都有体会。如果我们想扩大自己的找工作范围，编程肯定是要练的。具体情况也看公司，有的公司就是特别爱考算法。我个人是leetcode刷了200道就停了，然后每次面试前集中练下。我个人认为对于安全工程师的面试，刷到300就足矣了，还有很多安全方面的知识和技能需要训练。对于我自己来说，最理想的岗位是安全研究和编程六四开。如果你经常抱怨美国公司面试就看刷题不合理，那信息安全的面试方式很适合你，其实就有点像国内面试。

2.        信息安全岗位的区别
首先有两个特别容易混淆的岗位，security software engineer和software security engineer。前者是安全开发，基本和sde一样，只是开发的内容是和安全相关，后者是应用安全工程师，对安全方面的技能要求很高，看具体岗位对编程能力有要求。另外其实有的title是software engineer的岗位就是安全工程师，有的岗位投递的时候会具体让你选track，里面有security。

3.        国际生在美国找信息安全岗位因为身份问题能找到工作吗？
我个人认为身份问题顶多算是一个阻碍点，但不是找信息安全工作的主要难点。如果是跟美国政府有关的岗位，没有身份的国际生，那肯定申请不了。很多人喜欢提这一点，但我一直就没弄明白政府岗位是我们的目标吗？为什么要纠结这一点，你去那些公司做sde对方就收你吗？反过来想政府岗位还吸引了非常多的美国人去工作，帮我们减少了很多竞争对手。我本身的硕士项目就是信息安全的，美国人很多就是已经为政府工作的，印度人100%都奔着信息安全的工作去，确实有小部分印度人是有美国身份的，但大部分都是硕士才来美国，怎么印度人没有身份就可以，我们就不行了。而且只要上个招聘网站一搜信息就能看到是否有身份要求，很多的岗位根本就不限制身份，这里也存在公司没明面上写但暗地里根据身份筛选的可能性，不过我个人和身边是没碰到过。
另外确实office的位置可能会影响这一点，比如有的公司的大多安全岗位是不限制身份的，但如果office在dmv地区（DC，MD，VA），可能会标注需要身份。
我当初确定找安全方向工作的时候顾虑这一点，然后我去领英上看了学长学姐们的资料，也去一些大公司和安全公司看了人员的组成，太多中国人了，我觉得有数据支撑也就放心了。

4.        在美国找信息安全岗位的难点是什么？
第一点还是信息安全太难了，衍生的特点就是对经验要求极高，入门的门槛高。带来的优势处是属于越老越吃香的行业，基本不用考虑青春饭的问题。听学长说之后跳槽也不用特意刷题，和sde区别大，行业整体的圈子比较小。并且没有严重的内卷现象，不会各种被公司白嫖，但是很可能有了面试机会也通过率很底。我认为这都是必然的，一开始难就后来顺，门槛高内卷少但是可能得了机会却握不住。
第二点是信息安全的面太广了，基本计算机的每个领域都有对应的安全，但是由于缺少面经，面试前不知道怎么准备，最后导致面试的难度大大提升。之前也看到地里有人说跟已经工作的人聊觉得信息安全的工作很无聊，我觉得这是真实的，但又是很有问题的。因为信息安全岗位的种类太多了，这点从面经中也能看出来一些，跟一个人聊的数据点是完全不够的。具体岗位种类有哪些，我贴一个国内安全领域细分的图，方便感受： https://www.anquanke.com/post/id/235853

5.        申请信息安全岗位的注意点
信息安全岗位对经验和能力的要求太高了，其实我上面自己的full time面经全是社招, 我只在国内有两段实习，算是new grad，但如果我只找new grad的岗位我也会发现基本没有什么投递的机会或者投了也都没有反应。我认为这点也是产生了很多人认为信息安全对身份要求高的原因，身份不是主要因素，主要因素就是入圈子的门槛太高了（顺便一提另一个原因我认为是提出观点的时间点不一样，信息安全行业的增长速度可能是计算机领域里最快的，所以确实几年前的人发现岗位实在太少太少了）。这其实和上面的印度同学为什么都100%找安全岗位也有关联，他们基本都是有了工作经验才来读硕士的，所以他们不会被这点束缚，最后全都有很好的工作机会。
另外一点是安全岗位目标公司和找sde的目标公司是有差别的。首先公司是分甲方和乙方两大阵营，除了熟知的一些互联网大厂对安全需求很高，还有很多知名的信息安全公司需要多注意。我当初也完全不知道什么岗位能投，我那时候看地里有人说amazon的security intern的信息，我很惊讶回了句还有这个岗位吗？但是后来我遵循学长的指导每天都搜索岗位，我坚持了一年多吧，现在的我会觉得遍地都是信息安全工作机会，当然也可能是现在安全行业的增长势头太猛了，多了很多。这一点很重要吧，找到工作的前提是我们得申请啊，大部分人还没到公司主动找我们的程度吧。其实每天搜索也很有意思，那种感觉就像中学的时候几个小伙子一起吃饭点了盘辣子鸡丁，发现全是辣椒但是鸡丁又做的特别好吃，充满汁水，吃到最后就是一起快乐地在辣椒里翻鸡丁，像挖宝一样。

6.        安全岗位面试的特点
除了常规bq问题的安全bq三剑客：你为什么选择信息安全？你最喜欢的信息安全领域是什么？你最近看到的有趣信息安全新闻是什么？其实这三个问题都是围绕你究竟对信息安全有没有兴趣展开的。这类问题的产生原因也还是因为信息安全太难了，如果没有兴趣，没有热情的支撑，我不太相信能学得来信息安全，公司也不会相信。
General安全岗位技术问题三剑客：network security，web security，二进制漏洞。如果没发现岗位有太大的侧重点，可以多准备这三个方向。
Web security问题三剑客：XSS，SQL injection，CSRF

7.        准备安全岗位面试的资源
前面提了很多次信息安全领域很难，面试范围太大练的太多很难，但其实如果我们真能像sde找工作一样理清练习的路线，我觉得难度会大大降低，并且由于内卷不严重，变得特别简单（然而按照规律套路清晰了就该开始内卷了）
sde找工作的朋友们，他们积极的人来美国前就刷了几个月题了，而找安全的人基本都没有指导，不知道做什么，这根本没法比。其实我当初是一心想选水课找sde，我为了多选开发课都给我们学校负责的人问烦了。我是后来接触到安全，跟很多学长学姐聊了，也跟家里讨论了很多才坚定走信息安全的路线。所以我之前完全没准备，intern也是从春招才开始找，正好碰到疫情哈哈。这种没有清晰练习路线的体验就相当于我们全都不能访问leetcode等编程平台，然后面试官直接拿个leetcode考我们一样。关于安全岗位的练习平台，我个人是尝试了一些平台后觉得TryHackMe （https://tryhackme.com/hacktivities） 平台真的做的很好，第一它的难度是从小白到大师都有的。第二除了安全相关的知识也有很多计算机原理的知识，这点非常重要，比如我当初对web安全只会死记硬背，面试里被各种碾压，因为我本科完全没有接触过web开发，直到我后来上课自己使用了框架开发又自己搭了博客才突然感觉之前的安全知识串起来了。第三这个平台是知识点和lab相结合，并且lab通过web端即可访问。
在美国找工作还是先通过intern转正，或者有了intern经历后再找别的公司全职简单很多，我个人想法，用TryHackMe加上leetcode刷200道左右加上上面的面经合集，应对intern面试是绰绰有余。


其他的之后在细说，比如信息安全工作的优势，安全行业的前景，回国的前景，怎么利用圈子小的特点等等。
希望这些面经可以帮助有志于在这个领域深入的战友们，坚持。

CyberSecurity也有很多Non-technical的domains，常见的就是Goveronment, Risk, and Compliance (GRC). 对应的职业包括Cybersecurity Consultant, Risk Analyst, RMF Analyst. 我就在四大从事cybersecurity consultant, 客户包括政府和非政府。 除了consultant之外，还有很多诸如Identify Access Management， Digital Forensic， Vulnerability Assessment的分支。

补充一个朋友的security engineer 三轮onsite问题。对自己的帖子补充的字数有限就发回复了。

1. port的范围 常见port  2. 听http server来获取cookie而不是ports 3. threat modeling的概念，what kind of threat and attacks   5. 有个form，你是admin，有mgr和user，普通user只能提交看不到，mgr只能看到数据，admib可以change和看到数据 建立threat modeling 提交threats 6. 他还有一个问题，是问的是这样的，如果你有你在用这个form，提交了一些敏感的数据你应该怎么保护他，我说我说我知道password应该用hashing，这样的话不能reverse，所以他比较安全，然后他说这不是关于hashing，这是你应该怎么encode。传输过程需要control和encryption 7. crosssite scripting的解释 有几种xss 8. dom类型和解释 9. server side forgery request 如果把内部的server 全blacklist 可以吗    10.有什么memory leak，除了memory overflow 和format string：指针没有被释放   11. 除了sql injection以外的injection，和command injection，还有没有其他的injection  12. 有没有什么vulnerable是用automation扫不出来的，给出具体案例
13. 安全领域内java/python和c/c++的区别  14. memory里有一个ASLR ，有一个api可以关掉它    15. 解释control flow
aslr开启之后，解释一下为什么起作用  16. c program其他vulnerable 17. vulnerable in open-source library   18. open-source library company，what people could find the vulnerable  19. 购物完成给order ID，你看到类似的能够manipulate的东西吗？    20.Blind and normal SQL injection 区别  21. 输入link of website dns tcp http    22. Tls 4 handshake 23. 原理tcp 3 handshake，如果server的port没有开，会出现什么回复 24. 没有nmap怎么看port开没开    25. 有server side input validation，client side 还需不需要input validation，为什么  26. certificate的问题，怎么告诉他这个webpage确实就是这个网站    27. 怎么知道一个webpage or web application有vulnerable  28.Describe owasp top10， 用过哪些  29.dynamic analysis tool    30.static analysis tool

good info!

顶顶顶顶顶顶

顶一顶！收藏了

顶顶顶！好帖已收藏

太6了，已收藏加米

谢谢大佬的分享。终于看到安全领域的帖子了

好帖子，插个眼。

我也是security 的，刚结束在热带雨林实习（有return），年底毕业，能+个 邮吗，咨询点安全事宜？
我的邮： luckyygong@谷歌。com