真实面经分享：“度小满”的信息安全工程师

以下是一份根据真实面经整理的"度小满信息安全工程师"面试要点及准备建议，包含高频考察内容和技术要点：

一、技术能力考察

1. Web安全基础

   • 高频问题：
     • OWASP Top 10漏洞原理及防御（重点：SQL注入、XSS、CSRF、SSRF）
     • 业务逻辑漏洞案例（如越权、批量注册）
     • HTTPS握手过程与中间人攻击防御
   • 实战题：
     "假设一个支付接口存在漏洞，如何设计攻击路径？如何防护？"

2. 渗透测试能力

   • 工具使用：Burp Suite、SQLmap、Nmap的实战技巧
   • 漏洞复现：要求手写简单的SQL注入Payload或XSS绕过代码
   • 日志分析：从Apache/Nginx日志中识别攻击行为

3. 安全防护体系

   • WAF规则编写（如拦截特定攻击特征）
   • HIDS（主机入侵检测）的部署与告警分析
   • 数据加密方案（AES vs RSA应用场景）

4. 编程能力

   • Python/Shell脚本实战：
     • 写一个日志分析脚本提取攻击IP
     • 用Python模拟实现CSRF Token验证

二、金融安全专项

1. 风控安全

   • 黑产对抗策略（如设备指纹、行为建模）
   • 薅羊毛的检测与防御（案例：优惠券批量领取）

2. 合规与审计

   • 等保2.0三级要求（重点：金融行业条款）
   • PCI-DSS标准中的敏感数据存储规范

三、开放性问题

1. 攻击溯源
   "服务器被上传Webshell，如何排查并定位攻击者？"

   • 预期回答：日志分析→文件完整性检查→网络流量回溯→关联威胁情报

2. 安全方案设计
   "设计一个防止API接口被滥用的方案"

   • 关键点：限流策略、签名验证、行为风控

3. 职业理解

   • 金融科技安全与传统互联网安全的差异
   • 对度小满业务（信贷/支付）的安全风险认知

四、面试准备建议

1. 实战复盘

   • 准备1-2个自己挖过的漏洞案例（从发现到修复的全流程）
   • 熟悉金融行业攻防演练（如红蓝对抗）的常见模式

2. 技术栈深化

   • 复习常见漏洞的绕过技巧（如WAF绕过、CSP绕过）
   • 了解金融行业特有风险（如交易篡改、短信验证码爆破）

3. 业务关联

   • 提前研究度小满业务线（消费信贷、理财等），思考可能的安全痛点

五、反问面试官技巧

• 团队当前主要的安全建设方向
• 公司如何平衡业务迭代速度与安全需求
• 安全团队在风控系统中的角色

通过以上准备，可系统覆盖技术深度、金融行业特性、实战能力三大核心维度。建议结合自身项目经验灵活调整回答重点，突出金融场景下的安全解决方案能力。