网易2020校招笔试 - 安全工程师（提前批）：一份迟到的复盘与避坑指南
2020年那场网易提前批安全工程师笔试，我到现在还记得交卷时的感觉：明明每个题型都见过，但真正落在卷面上的选择，很多都是在"两个好像都对"的选项里硬着头皮选的。后来拿到offer回头看，才发现这场笔试真正想筛的，不是谁背的CVE最多、谁刷的CTF题最狠，而是谁能在有限时间内展现出"安全工程师该有的思考方式"。这篇文章不聊面经里满天飞的题库，而是从出题逻辑、知识点权重、答题策略三个维度，复盘那场笔试里的真实细节，给正在准备大厂安全岗笔试的各位一个参照系。
先说结论：网易安全工程师笔试的难度，在大厂里属于中上，但它的风格很鲜明——不堆砌偏题怪题，而是把安全领域里最核心的知识点用工程化场景包装起来，考的是你"原理懂不懂、能不能落地、有没有防御视角"。提前批的笔试通常在七月底到八月中旬分批进行，线上机考，题目类型覆盖选择题、简答题和一道场景设计题，总时长大概两个小时，题量不算大，但每一道都值得认真对待。
1. 笔试定位：网易提前批到底想通过这场考试看出什么
准备笔试之前，我建议你先想明白一个问题：一个互联网大厂的提前批安全岗笔试，为什么偏偏要考这些东西？因为理解了出题人的意图，你才知道每一道题背后的重点，而不是陷入刷题泥潭。
1.1 提前批与正式批的考察逻辑差异
提前批的核心目标是抢人，所以它的筛选逻辑和正式批有明显区别。正式批笔试往往更依赖标准化题库，题目覆盖面广、维度多，目的是在大量候选人里快速划一条线；提前批则更偏向"精英筛选"，题量会适当压缩，但单题的分辨度更高——出题人会在题目里刻意埋一些需要结合经验才能看出来的陷阱，考察你是不是真正做过安全工作，而不是单纯刷过题目。
以网易那道关于Web安全的案例分析题为例，它没有直接问"SQL注入怎么防御"，而是给了个具体的业务场景：一个内部管理后台出现慢查询，日志里发现异常请求，提问是"如何定位与修复"。这种题单纯背原理是拿不到高分的，你得建立一个从发现异常到根因定位再到修复验证的完整排查思路。我后来复盘发现，这道题考的是应急响应和代码审计的综合能力，而这两种能力和平时的工作积累关系很大。
1.2 从岗位JD反推考察维度
如果你看过网易安全工程师的岗位描述，会发现它频繁出现几组关键词：Web安全攻防、系统与网络安全、安全开发、应急响应。对应的笔试考察维度自然也围绕这几个方向展开：
| 考察维度 | 常见切入点 | 出题风格 |
|---|---|---|
| Web安全 | SQL注入、XSS、CSRF、SSRF、文件上传、反序列化 | 给代码片段或流量日志，让考生判断漏洞类型与危害 |
| 二进制安全 | 栈溢出、格式化字符串、整数溢出、逆向分析 | 给出汇编片段或二进制文件，考察理解程度 |
| 密码学基础 | 对称与非对称加密、哈希算法、数字签名、常见协议 | 计算题 + 原理辨析题 |
| 网络与系统 | TCP/IP、HTTP协议细节、Linux权限、Windows安全机制 | 基础概念选择题，偶尔结合场景 |
| 业务安全与合规 | 认证授权逻辑、数据安全、隐私合规、风控思路 | 主观场景题，开放性较强 |
这张表其实就是你的复习地图。我的建议是，不要平均用力——根据自身基础，把精力投入到分值最高、以及自己最薄弱的那个维度上。以我的经验，Web安全在笔试里永远是绝对核心，不管你是哪个方向的候选人，这部分都不能丢分。
1.3 这道题考的不是"你会不会"，而是"你哪方面更强"
提前批笔试还有一种微妙的作用：它在帮助你与团队做匹配。同一个安全工程师岗位，实际可能细分到Web安全组、移动安全组、安全开发组、安全运营组。在线笔试的成绩单，往往会被用来做初步的方向判断。
所以我特别想提醒一点：不要试图把自己伪装成"全栈"候选人。如果你对二进制逆向有深入理解，那就在主观题里充分展示你对内存布局、利用原语的理解深度；如果你做业务安全更有经验，就重点展示你对业务逻辑漏洞的敏感度。笔试分数体现的只是下限，主观题里展现的技术品味和深度，才是区分你和大量相似背景候选人的关键。
2. Web安全部分的真实难度：从代码审计到流量分析的层层递进
网易笔试的Web安全题，放在大厂笔试题里算是有诚意的。它不会直接丢一句"请列举XSS的三种类型"这种填空题，而是会给你一段简化后的代码，或者一段脱敏后的访问日志，让你判断存在什么问题、怎么利用、如何修复。
2.1 SQL注入题：从触发点到绕过的完整链路
我印象最深的一道题，给出了类似下面这样的Java代码片段：
String sql = "SELECT * FROM user WHERE name = '" + name + "' AND status = 1"; Statement stmt = conn.createStatement(); ResultSet rs = stmt.executeQuery(sql);题目先问这段代码存在什么漏洞，然后追问：如果用户输入为admin'--和admin' AND 1=1 --，两者的查询结果分别是什么。这题的核心考点并不复杂——字符串拼接导致的SQL注入，注释符截断后续条件——但第二个问题其实在考察你是否理解不同注入载荷的效果差异。admin'--会让AND status = 1被注释掉，从而可能查询到被禁用用户的数据；admin' AND 1=1 --则只是让整个子条件恒真，返回所有用户数据。
答题时如果只写"存在SQL注入，应使用预编译语句"，只能拿到基础分。要想拿高分，需要补充完整的修复思路：用PreparedStatement参数化查询、对输入做白名单校验、数据库账号最小权限原则、部署WAF作为纵深防御的一层。
2.2 XSS和CSRF：出题人最爱挖的辨析坑
笔试里有一道非常经典的选择题，选项分别是存储型XSS、反射型XSS、DOM型XSS、CSRF。题干给的场景是：一个搜索页面在URL参数中读取关键词，未经转义直接输出在页面HTML中，打开这个恶意URL的用户会在浏览器中执行攻击者构造的脚本。如果不仔细看，很多人会直接选反射型XSS，但出题人在这里埋了个坑——当页面只是用JavaScript的innerHTML属性将URL参数写入DOM时，它其实属于DOM型XSS，因为服务器端并没有拼接输出，而是完全在客户端完成了数据流传递。
这种区分不是抠字眼，而是直接关系到检测和修复的手段。反射型XSS需要在服务端对输出编码，DOM型XSS则要从前端JavaScript代码入手，对插入DOM的内容做转义，或者避免使用innerHTML这种危险方法。答题时把这个链路讲清楚，阅卷人一眼就能看出你处理过真实的XSS漏洞。
2.3 文件上传题：考的不只是后缀名黑名单
文件上传那一道题，给的是一段PHP代码，功能是限制上传文件的后缀必须在白名单["jpg", "png", "gif"]内，然后通过move_uploaded_file保存文件。题目问了两个问题：第一个是这段代码存在哪些可被绕过的点，第二个是Apache解析漏洞场景下攻击者如何组合利用。
第一个问题相对简单，涵盖文件名大小写绕过（如.PHP）、双写后缀绕过（如.pphphp）、空字节截断（历史版本）、Content-Type伪造等。第二个问题需要结合Apache的多个后缀解析特性——Apache在遇到不认识的后缀时会从左向右解析，比如shell.php.jpg会被交给PHP模块执行——来说明攻击者如何上传一个看似是图片、实则可执行的文件。
这道题的深层考察点其实是"服务端校验思维"。安全的文件上传方案应该包含：扩展名白名单加服务端MIME类型检测、对上传文件重命名为随机字符串、存储在Web根目录之外的路径、使用对象存储并限制执行权限。这些点总结到位，就足以展示你的工程经验了。
3. 二进制与逆向：基础题不丢分，进阶题展示思路
网易笔试的二进制安全部分，题量不大，但分值可观，而且往往是区分度最高的板块。因为不是所有安全工程师候选人都会做PWN题，所以笔试中这一块的难度被控制得比较克制——不会出那种需要复杂利用链的题目，但如果你连栈布局都看不懂，这部分的分数基本拿不到。
3.1 栈溢出：从栈布局开始理解"为什么能劫持控制流"
笔试有一道基础选择题，给了一个函数的部分汇编：
push rbp mov rbp, rsp sub rsp, 0x20 mov rax, [rbp-0x20] mov rdi, rax call gets leave ret题目问：程序存在什么漏洞，能否通过覆盖返回地址控制程序流程。这道题的关键是理解sub rsp, 0x20分配的32字节栈空间与局部变量的对应关系，以及gets不检查输入长度的问题。只要你画出栈布局图——局部变量从低地址到高地址依次分布，返回地址在高地址方向——就会明白，输入超过32字节后可以覆盖到[rbp+8]处的返回地址，从而将控制流劫持到攻击者指定的地址。
笔试不需要你写出完整的ROP链，但你需要指出"攻击者可以通过覆盖返回地址，跳转到已有的代码片段或shellcode"。答题时画个栈示意图，再补充说明现代缓解措施（NX、ASLR、Stack Canary）各自防护的点，分数自然就上去了。
3.2 逆向分析题：考符号恢复与算法理解能力
还有一道逆向题，给出了一个用upx加过壳的Linux可执行文件，要求考生说明如何还原逻辑。常规思路是先检查文件类型和壳信息（upx -d脱壳），再使用静态分析工具定位主函数。比较惊艳的答法会提到：如果UPX壳自修改导致无法直接脱壳，可以用动态调试在OEP处dump内存，再用导入表重建工具修复。
笔试现场没有真实的二进制文件给你操作，但这道题的实际输出是让你写一个脱壳思路。阅卷人想看的是你对整个逆向流程的熟练度，而不是单纯知道"UPX可以脱壳"。我把这套思路完整写清了，相信能帮你拿到高分。
3.3 如何用"最少的逆向经验"换取这部分分数
如果时间紧张，二进制部分可以采取"保基础、展逻辑"的策略。基础概念题（如关于GOT表、PLT表、堆溢出与栈溢出的区别）一定要背熟；分析题哪怕不会做，也要把你已知的步骤完整写出来——比如"先file查看文件类型，再checksec查看保护机制，再用IDA定位到漏洞函数"——这种答题方式能直观展示你的分析思路，阅卷人不会完全不给分。
4. 密码学与网络基础：送分题里的易错点和计算陷阱
密码学和网络基础部分，对大多数认真准备过的同学来说属于"送分题"，但网易的出题风格里，总有几个选项是给粗心的人准备的。
4.1 RSA的计算体：私钥、签名与加密顺序
有一道计算题我印象极深，给了两个大素数p和q，要求计算私钥d以及对一个消息m进行加密后的密文c。计算本身不复杂，先在模(n)乘法群里求欧拉函数，再解模逆元方程。真正容易出错的是题目接下来问的：如果使用RSA进行数字签名，签名过程是先用私钥对消息哈希值加密，再把签名附在消息后发送；验证时用公钥解签名，比对哈希值是否一致。很多人在这一步把加密和签名的公私钥用法搞混了——加密用公钥、解密用私钥，签名用私钥、验签用公钥——这是密码学里最基础的对称性认知，却也是笔试里最频繁的失分点。
4.2 哈希算法题：不只是MD5和SHA-1
网易的题库里关于哈希的题目，出得比较新。有一道选择题问：哪个哈希算法已经不再适合用于口令存储？选项里有MD5、SHA-1、bcrypt、scrypt。答案是MD5和SHA-1——它们都是快速哈希，攻击者可以用GPU高速暴力破解；而bcrypt和scrypt是慢哈希算法，内置成本因子，能显著增加暴力破解开销。更贴合实际的答法是直接推荐使用带随机盐的PBKDF2或者Argon2，这在网易很多内部系统的安全规范里都有体现。
4.3 TCP与HTTP细节：重视"状态机"和"交互细节"
网络基础部分有一道关于TCP三次握手的题：客户端发送SYN，服务端回复SYN+ACK，此时如果客户端不回复最后的ACK，服务端会怎么处理？这是一个典型的半连接攻击场景，答案是服务端会进入SYN_RECV状态，等待一段时间后超时重传SYN+ACK，直到超过tcp_synack_retries阈值才释放连接。出题人想通过这道题考察的是你对TCP状态机的理解深度，以及对SYN Flood攻击原理的掌握程度。
HTTP部分的题目关注点集中在：Cookie的SameSite属性如何影响CSRF防护、HTTP与HTTPS的差异、常见的请求头注入风险等。这些都是安全开发日常要掌握的基础，复习时不需要过度深挖，但基本概念必须清晰。
5. 简答题与场景设计题：安全工程师的"业务思维"考察
主观题是网易笔试里最有含金量的部分，也是最容易拉分的部分。它通常是一道关于企业安全建设或应急响应的场景题，没有唯一答案，但答案的层次感会在阅卷时形成明显区分。
5.1 一个典型场景：新上线业务系统的安全评审
笔试最后一道大题，题干大概是这样的：某业务团队准备上线一个新的Web应用，该应用涉及用户手机号、身份证号、银行卡号等敏感数据，请你给出上线前的安全评审方案。这道题的分值通常很高，回答时要体现你的系统化思维，而不是东一句西一句。
我的回答思路是按以下顺序展开的：架构评审（是否走统一网关、有没有内网隔离）、认证与授权（是否支持多因素认证、细粒度权限模型是否合理）、数据安全（传输层是否启用TLS、存储层是否加密、日志中是否脱敏）、Web安全基线（是否有SQL注入/XSS等常见漏洞、是否接入WAF或RASP）、合规审计（是否满足数据安全法的基本要求、能否提供数据出境评估材料）。
每个大点下面，我都会写一两句具体可落地的检查项，这样既显得有工程经验，又避免空洞。后来我复盘时对比了一些其他候选人的经验帖，发现得分高的回答普遍具有这个特点：框架完整，而且每个框架节点下都有实实在在的观察点。
5.2 应急响应题：告警之后的第一步是什么
还有一道简答题，给出了一段线上业务异常：收到告警说某台服务器外联异常，SSH登录日志中有来自多个IP的登录失败记录，且部分账号显示登录成功。题目要求描述你的应急处置步骤。
这道题考察的不仅是技术，还有流程意识。正确顺序应该是：先断网隔离受感染主机，避免横向扩散；再保留现场（抓内存镜像、保存日志）；然后分析入侵路径，确认是通过弱口令爆破还是Web漏洞进入；接着清理后门与持久化措施；最终对受影响的数据范围做评估，并给出加固方案。每一步都要有明确的"为什么"——比如先隔离不是为了防止所有数据丢失，而是为了防止攻击者在内网继续移动、加密重要业务数据，这将直接影响应急处置的优先级。
5.3 业务安全题：从攻防思维到产品思维的切换
网易的业务安全题一向很灵活。我记得有一道题，给出了一个社交App的场景：大量新注册账号在短时间内发布相同内容的垃圾信息，提问是如何从风控角度应对。单纯回答"封号、拉黑IP"显然不够，体现产品思维和安全运营经验的答案是：先通过设备指纹和注册行为特征识别批量注册，再结合内容指纹做聚类，识别垃圾信息特征；然后对命中账号做分级处置，从限流到封禁；最后还要建立监控大盘，持续追踪绕过手段的变化。
这类题不太可能靠临时背诵应付过去，平时对风控系统、反爬策略、用户行为建模有一定积累的话，答起来会顺手很多。
6. 踩坑复盘：从笔试到offer的关键动作
最后这部分，我想认真聊聊那些容易被忽略、但实际影响很大的细节。这些经验是我自己踩过坑之后才总结出来的，对后来者应该会有帮助。
6.1 我在笔试现场踩过的雷
第一个雷是时间分配。我当时的节奏是选择题部分花了太久，导致最后一道场景设计题只剩二十分钟。虽然我把框架和关键点都写了，但细节展开得不够充分。复盘后我觉得合理的时间分配应该是：选择题控制在总时长的50%以内，简答题每题15分钟，场景题至少留40分钟——因为它的分值最高，且阅卷人能从你的展开程度判断你的经验水平。
第二个雷是答题时过度追求"术语轰炸"。我刚开始写简答题时，几乎每句话都塞专业名词，以为这样显得专业。但后来和一位做阅卷的同行聊过，笔试阅卷人更看重的是术语是否用得准确，以及逻辑链条是否闭合。与其堆十个名词，不如把一个漏洞从原理到修复链路讲完整，后者才能让你在众多候选者中脱颖而出。
第三个雷是忽略了笔试题型与后续面试的关联。网易安全岗的笔试面试通常是连续推进的，面试官手里是有你的笔试答卷的。如果你在笔试主观题里写了一个方案，面试时被问到却讲不清楚，那印象分会大幅折损。所以考完之后一定要抽时间复盘自己的答案，确保每一句话背后都有真实的思考支撑。
6.2 备考资料与复习节奏
如果你现在还有两三周时间，我的复习建议是分三轮推进。第一轮（约5天）：快速过一遍核心知识点，Web安全、密码学基础、网络协议、常见安全工具的使用场景，不必做深度练习。第二轮（约7天）：针对历年真题和模拟题刷题，重点练习简答题和场景题，练的时候一定要动手写完整答案，而不是在脑子里过一遍，因为书面表达能力和口头理解是两码事。第三轮（约3天）：专项补弱，针对薄弱环节做定点突破，同时整理一份自己的"答题框架库"——比如应急响应流程、代码审计路径、安全评审清单——这样在笔试时可以直接调用。
参考资料方面，经典的《白帽子讲Web安全》《Web安全深度剖析》足够打底，密码学和二进制部分可以先看CTF的入门教程，再把常见题型的原理吃透。我不太建议考前还在啃大量新工具的新特性，那会让你抓不住重点。
6.3 笔试结束后的两个衔接动作
第一，立刻记录你的答案。机考结束后，趁记忆还新鲜，把你主观题的答题脉络写到本地笔记里，面试前把它整理成一份可以口头表达的版本。第二，回看岗位JD，找到笔试中没覆盖到的能力点，主动去做一两周的针对性项目补充。我当年在笔试后面试前，花了一个礼拜把Linux系统安全加固的命令全部实操了一遍，面试时聊到主机安全时明显更有底气。
网易的笔试只是一个起点，而不是终点。安全工程师的成长路径很长，一场笔试能反映的仅仅是你在某个时间点上的知识存量和技术习惯。真正决定你能否在安全这条路上走远的，是持续学习的能力，以及面对复杂系统时那种"先理解再行动"的沉稳心态。希望这篇复盘能帮你少走一些弯路，在笔试里发挥出自己真实的水平。
