1. 从一道没答好的基础题说起：网络分层模型真的都掌握了吗？
做网络安全这一行，不管是走攻防、走运维、还是走合规审计，面试官几乎开场就会从网络基础开始探底。我见过不少简历写得花团锦簇的候选人，一问OSI七层模型和TCP/IP四层模型的对应关系就开始含糊。说实话，这道题一点都不偏，但偏偏倒在这里的人最多。
这道题之所以概率大，是因为它背后藏着面试官真正想验证的东西：你排查网络问题时脑子里有没有分层思维。TCP/IP四层模型从上到下是应用层、传输层、网络层、网络接口层，OSI七层则是应用层、表示层、会话层、传输层、网络层、数据链路层、物理层。面试时最稳妥的回答方式是先讲清楚四层模型，再说明OSI七层中表示层和会话层的功能实际被合并到了应用层，最后举一个具体例子证明你真的用过。比如说HTTPS证书校验，从应用层看是证书链验证，从表示层看是加密格式协商，实际工作中你只需要关心应用层和传输层就够了。
这里有个很容易被追问的细节：TCP和UDP的区别。面试官会追一句“DNS用TCP还是UDP？”标准答案是DNS查询主要用UDP 53端口，但区域传送用TCP，因为UDP报文有大小限制，而区域传送数据量大且需要可靠传输。如果你能把这一层逻辑说透，面试官基本会认定你是真做过实际工作的，而不是只会背书。
我在实际面试别人时，还会额外追问一个场景题：假设一台服务器内网ping不通网关，但外网能通，你是怎么排查的？这题没有标准答案，考察的完全是分层排查思路。正确的链路是先看物理层，网线、光模块有没有告警；再看数据链路层，ARP表能不能学到网关的MAC；然后看网络层，路由表有没有问题；最后看系统层，防火墙规则是不是把ICMP给拦了。能把这个链路清楚讲出来的候选人，后面几轮基本不用太操心。
2. Web安全高频题：SQL注入、XSS、SSRF，回答逻辑千万别只背Payload
Web安全方向是网络安全面试题里占比最高的板块，没有之一。面试官问SQL注入，大概率不是真的要你背union select的语法，而是看你能不能讲清楚注入发生的三个前提条件以及防御手段的层次。
SQL注入发生的本质是：用户输入被拼接进了SQL语句，且拼接后的内容被当作SQL代码执行。回答时按照“成因-利用-防御”三段式展开最稳。成因是参数未经过参数化查询处理；利用是攻击者通过闭合语句或注释符构造恶意SQL；防御则是从代码层、数据库层、网络层三层分别采取措施。代码层首选预编译参数化查询，数据库层最小化数据库账号权限，网络层部署WAF做纵深防御。这里有一个很多人容易忽略的加分点：预编译之所以能防注入，是因为SQL语句的结构在编译阶段已经确定，用户输入只被当作参数值传递，而不是被解析成新的SQL结构。
XSS这题也几乎必考。要答好反射型、存储型、DOM型三者的区别和利用场景。反射型XSS是一次性攻击，Payload藏在URL里，需要诱导用户点击；存储型XSS是持久化攻击，Payload被存在服务器端，每次用户访问都会触发，危害最大；DOM型XSS则是在前端JavaScript执行过程中修改DOM结构导致的，后端不一定能检测到。回答时最好各配一个真实场景，比如评论区注入脚本这就是存储型，搜索框回显参数没过滤就是反射型，前端框架根据URL参数动态渲染DOM就是DOM型。
SSRF这两年考得特别多，因为云原生环境里SSRF的危害被放大了。面试官会问：SSRF的核心特征是什么？答案很明确——服务器端发起请求，访问了原本不允许访问的内网资源。利用方式常常是URL地址中传入内网IP、云元数据地址或本地地址，服务器替攻击者去访问。这里有个关键点：很多防御者只做了外网访问控制，却忽略了服务器本身能访问内网，SSRF正是利用了这种边界信任。防御思路是严格校验URL协议白名单、IP地址合法性、端口范围，并使用专门的HTTP客户端禁用重定向跟随。
Web安全这部分我强烈建议候选人准备一两个自己真实挖到过的案例，哪怕是小厂站的存储型XSS都比空谈理论有说服力。面试官问“你有实际挖过漏洞吗”，回答“我在某授权测试项目里挖到了一个存储型XSS，整个过程是…”和回答“我复现过靶场里的题目”给人留下的印象差距是相当大的。
3. 密码学基础题：对称加密、非对称加密、哈希，搞懂应用场景比背算法名重要
密码学在网络安全面试题里属于“看起来简单但容易翻车”的板块。面试官常问的是一道经典题：对称加密和非对称加密的区别，以及它们分别用在哪些场景。
标准回答是：对称加密用同一个密钥加解密，速度快，适合大数据量加密，代表算法有AES、SM4；非对称加密用公钥和私钥一对密钥，公钥加密私钥解密，安全性高但速度慢，代表算法有RSA、SM2。实际系统中往往是结合使用：用非对称加密协商或传输对称密钥，再用对称密钥加密实际业务数据。HTTPS握手里就是典型的混合加密，证书里携带公钥，客户端用公钥加密预主密钥，双方协商出会话密钥之后，后续数据都用AES对称加密传输。
哈希这道题的坑在于很多人把“哈希加密”挂在嘴边。哈希不是加密，加密是可逆的，哈希是不可逆的。面试官听到“哈希加密”四个字，心里基本就给这个候选人扣分了。正确说法是：哈希算法用于完整性校验和口令存储，常见算法有SHA-256、SM3。口令存储时要注意加盐，防止彩虹表破解。加盐的本质是：每个用户的盐值随机且唯一，攻击者即使拿到数据库也无法通过预计算哈希字典批量破解。
有一个追问概率很大的点：为什么不能直接对密码做一次SHA-256就存库？因为攻击者可以预计算大量常见口令的SHA-256值，形成彩虹表，拿到数据库后直接查表比对，弱口令秒破。加盐之后，每个口令都变成了“盐值+口令”的组合哈希，彩虹表完全失效。更进一步的实践是使用BCrypt、PBKDF2这类慢哈希算法，通过增加计算成本来拖慢暴力破解速度。
这里我补充一个实际踩过的坑：在某次某安全评估项目里，我遇到某系统把用户密码用MD5做了一次哈希，连盐都没有。更要命的是，开发同学说“我们用了双重MD5，应该安全了吧”。双重MD5对彩虹表的防御非常有限，攻击者只需要生成双重MD5的彩虹表即可。正确的做法是使用专业的密码哈希算法，而不是自己发明“多套几次”的方案。面试时如果能把这个真实案例讲出来，面试官会立刻对你的专业度另眼相看。
4. 渗透测试场景题：既然是“含答案”，就把完整的利用思路和报告写法都复盘一遍
渗透测试相关的问题在网络安全面试里往往是拉开差距的分水岭。常规的流程题“渗透测试的步骤有哪些”大家都能答：信息收集、漏洞扫描、漏洞利用、权限提升、权限维持、痕迹清理、报告输出。面试官想听的绝对不是这个阶段列表，而是你在每个阶段具体怎么操作。
信息收集阶段要讲清楚被动信息收集和主动信息收集的区别。被动收集不直接触碰目标系统，比如通过公开搜索引擎语法、证书透明度日志查询子域名、历史数据快照；主动收集则是直接对目标进行DNS解析、端口扫描、目录枚举。一个优秀的回答者会提到信息收集的广度决定渗透的深度，并且会强调授权的边界。
漏洞利用阶段，有经验的面试者会说：不只要会用工具，要学会判断漏洞的利用条件。一个漏洞能不能利用，取决于影响范围、利用难度、权限要求、稳定性和副作用。以某个反序列化漏洞为例，虽然存在漏洞，但目标环境可能禁用了相关类库，或者出网受限导致无法回连，这时候即使漏洞存在也无法实际利用。能够把这种“漏洞存在但利用受限”的逻辑讲清楚的人，说明不是只会跑脚本的。
权限提升部分，Linux系统常问SUID提权，Windows系统常问服务提权。SUID提权的基本思路是：找具有SUID权限且属主为root的可执行文件，如果它能被利用来执行命令或读取文件，就可以提权。面试官会追问“怎么找SUID文件”，标准答案是用find / -perm -4000 2>/dev/null。如果能补充一句“找到后先看它有没有已知漏洞，再看它的配置是否被错误地赋予了特权”，会显得更有经验。
痕迹清理和报告输出是很多自学的人容易忽略的。痕迹清理要覆盖历史命令、日志文件、临时文件、web日志中留下的请求记录；报告输出则要包括漏洞名称、风险等级、CVE编号（如有）、受影响资产、复现步骤、影响分析、修复建议。修复建议要按照紧急程度排序，不能只写“加强过滤”这种空话，要具体到“将数据库连接字符串中的账号权限改为最小权限，禁止使用高权限账号连接业务”。
这里分享一个面试官很喜欢问的实战题：假设你通过SQL注入拿到了一个后台管理员的账号密码，但管理后台所在网段无法直接访问，你会怎么做？回答思路是：判断该网段是否属于内网，尝试通过已控服务器搭建代理进行内网横向移动；如果是云环境，检查安全组策略是否限制了来源IP；如果后台本身存在于外网但做了WAF拦截，尝试绕过WAF。这道题没有唯一答案，面试官真正想听的其实是你有没有内网横向渗透的实战意识，而不是只停留在Web攻击层面。
5. 身份认证与访问控制：JWT、SSO、零信任，现代应用架构下的新考点
随着现代应用架构的演进，面试题里关于身份认证与访问控制的比重明显增加。JWT（JSON Web Token）几乎成为必考题。面试官会问：JWT由哪三部分组成，为什么要用JWT，JWT有什么安全隐患。
JWT由Header、Payload、Signature三部分组成，分别用Base64编码后以点号连接。Header声明令牌类型和签名算法，Payload存放用户标识、角色、过期时间等声明，Signature则是对前两部分的签名，用于防篡改。JWT的核心价值是无状态认证，服务器不需要存储会话信息，每次请求携带令牌即可完成身份校验，非常适合分布式系统和微服务架构。
安全隐患这块是面试官重点考察的。首先是密钥泄露：如果JWT签名密钥是硬编码在代码里的弱密钥，攻击者可以伪造任意身份。其次是不校验算法：JWT的alg字段可以被篡改为none，如果服务端没有严格校验算法白名单，攻击者可以直接构造无签名的JWT。再有是过期时间设置过长：一旦令牌泄露，攻击者有充足的时间窗口进行攻击。防御措施是：使用强随机密钥、设置合理的过期时间、采用短时效令牌配合刷新令牌、服务端严格限制允许的签名算法。
SSO（单点登录）和零信任也是高频话题。SSO相关问题通常会问OAuth2.0和OIDC的基本流程，核心要理解授权码模式的完整链路。零信任则问的是理念：从不信任，始终验证。它强调对所有访问请求进行持续验证，不因设备位于内网就默认可信。面试时如果能结合自己所在公司的实践来谈零信任落地，比如SDP架构、微隔离、持续风险评估，会让面试官觉得你有实际建设经验，而不是停留在名词层面。
6. 应急响应与日志分析：一道进去就能被“加分”的实践型题目
这类题出现的频率非常高，而且很能考验真实能力。常见的提问方式是：“假如你的业务服务器被入侵了，你的应急处置流程是什么？”或者是“请根据以下日志片段分析发生了什么攻击。”
应急处置的回答框架要按时间线展开：隔离-取证-分析-恢复-溯源。隔离是把受感染服务器从网络中剥离，防止横向扩散，但要注意保留现场，不能直接关机导致内存数据丢失。取证要优先获取内存镜像、进程列表、网络连接、登录日志、Web访问日志。分析阶段核心是把攻击时间线还原出来，找出攻击入口和攻击者驻留痕迹。恢复阶段要彻底清理恶意文件和后门，修复漏洞后才可以重新上线。最后溯源阶段要尽可能还原攻击者的手法和路径。
日志分析这个环节我建议面试者一定要亲手实践过至少一次。不要只背理论，要真正打开日志看攻击特征。比如Web日志中出现了大量单引号和注释符的请求，大概率是SQL注入扫描；日志中出现大量不同UA但相同来源IP的请求，可能是扫描器在探测；登录日志中出现频繁失败的admin用户登录尝试，就是暴力破解。回答时还能加分的是：你能说出常用日志分析工具的使用，比如用grep和awk做基础过滤，用tcpdump抓包分析，用安全分析平台做聚合关联。
有一个容易被忽视的加分点是流量分析。面试官会问：你如何判断服务器是否被当作跳板机发起对外攻击？回答方向是：检查服务器出方向流量、查看网络连接中是否有异常的外部地址、对比进程的原始启动时间和网络连接时间是否吻合、检查计划任务和启动项是否有可疑条目。这几年供应链攻击的案例很多，面试题也会涉及：如何排查服务器上是否被植入了恶意后门？排查思路是检查启动项、计划任务、系统服务、Web目录下的新增文件、SSH配置中的可疑条目、安全日志中的异常登录。把这些细节讲出来，比单纯背框架要强得多。
7. 综合题与软技能：这部分答好了，Offer就成功了一半
除了技术题，网络安全面试里还有一些软技能题，很多人栽在这里不是因为技术不行，而是因为表达方式和思考框架出了问题。
最经典的一道是：“如果你发现了公司某个系统存在严重漏洞，但业务方为了上线进度不让你修，你怎么处理？”这道题考察的是安全人员的沟通能力和职业底线。正常的回答思路是：先确认漏洞的利用条件和危害等级，输出一份清晰的漏洞报告，说明漏洞可能导致的业务影响；然后和业务方沟通，寻找折中方案，比如先加WAF临时缓解、再安排代码修复；如果对方依然拒绝修复且漏洞风险极高，应该上升至信息安全管理层决策。关键是展现出你既有技术判断力，又有业务视角，而不是只会喊“必须修”。面试官最怕的是那种技术很强但完全无法沟通的人，因为你入职之后需要跟开发、运维、业务各种角色打交道。
另外一个常见问题是：“谈谈你对网络安全行业发展方向的理解”。这个问题不需要高谈阔论，最好结合你实际关注的方向，比如攻防演练实战化、云原生安全、数据安全与隐私保护、AI在安全检测中的应用。回答时要有自己的思考，比如“我觉得攻防演练日益实战化，意味着防守方不能只靠堆设备，必须提升威胁检测与响应能力”，这种有具体判断的回答比“行业前景广阔”的空话强得多。
这里还要提醒一个细节：面试官特别喜欢问简历上的项目经历。简历里写“某公司Web系统安全测试”，面试官一定会追问：项目背景是什么？测试范围是什么？发现哪些漏洞？如何修复验证？如果简历写的是自己学习中的模拟项目，也完全可以。但一定要提前准备一个能讲得清清楚楚的项目：目标是什么、过程中用了哪些技术、遇到最大的困难是什么、最后怎么解决的。很多候选人简历写得很好，一追问就露馅，这种真的是很可惜。
7.2 说在最后的一点经验
这组“概率大”的面试题并不神秘，它们其实就是这个岗位上每天都会用到的基础能力。我面试过很多人，也见过不少候选人因为过度准备偏题怪题，反而在最基础的问题上翻了车。与其花时间背生僻的漏洞利用细节，不如把网络分层、Web攻击原理、密码学应用、应急响应链路这些基础框架建立起来，然后把它们串成一个个能讲出动线的故事。
如果你正在准备网络安全方向的面试，我建议你把每一道题都用自己的话重新回答一遍，录下来听一听，再对照参考答案查漏补缺。这个岗位面试的底层逻辑从来不是考你记不记得住答案，而是看你有没有真正的排查思路和解决问题的能力。把这套基础打扎实了，不管面试官怎么变化提问方式，你都能应对自如。
