渗透答辩

会议室里空调嗡嗡作响，渗透答辩对面坐着三个穿深色西装的渗透答辩人。中间那位翻着我的渗透答辩简历，突然抬头问：“你去年那个银行项目，渗透答辩是渗透答辩怎么绕过WAF的？”

我愣了一下。那是渗透答辩个真实项目，客户要求做渗透测试，渗透答辩授权文件白纸黑字签过。渗透答辩但对方这么一问，渗透答辩我反倒警觉起来——真正的渗透答辩甲方不会用这种措辞。他们只会说“你们当时发现了什么”，渗透答辩而不是渗透答辩“怎么绕过的”。

这是渗透答辩我在面试中遇到的第三家“安全公司”。前两家聊得都挺好，渗透答辩直到对方问起具体漏洞利用细节，渗透答辩比如“SQL注入的payload怎么构造能不被拦截”“内网横向时用什么工具最隐蔽”。我给了些通用回答，气氛就冷了下来。后来圈里朋友提醒我，有些公司打着招聘旗号，实际在收集各家的渗透手法。

那次之后我学乖了。再遇到类似提问，我会先反问对方：“贵司现在主要做哪类安全服务？是等保测评还是红队评估？”如果对方含糊其辞，我就把话题引向合规流程和报告标准。真正懂行的人不会介意聊这些，因为他们知道渗透的价值不在某个具体指令，而在对整体风险的判断。

有个老前辈教过我一个土办法——看对方问什么。如果全程只关心“怎么攻”，从不问“怎么防”，那八成不是正经甲方。正经做安全的，最关心的永远是“你发现了什么导致这个漏洞存在的根本原因”。

上个月真去了一家做金融安全的公司面试。技术总监问了个刁钻问题：“如果你拿到一台域控权限，但客户要求不能中断业务，你怎么验证域管账号的真实性？”我答了两层意思：先做非侵入式的LDAP查询，确认账号属性；再用临时防火墙策略限制源IP，测一次登录。

他点了点头，接着问：“那你怎么写进报告里，让客户觉得这不是个风险？”

这问题问到点子上了。我说我会标注“该账号密码强度不足且未启用MFA，建议轮换并绑定硬件令牌”，而不是写“已获取域控权限”。前者是风险描述，后者是攻击炫耀。客户要的是改进方向，不是听你吹嘘。

面试结束后他送我出门，说了一句话让我印象很深：“这行里能攻的人不少，知道什么时候该收手的人不多。”

后来我拿到了offer。现在自己也参与面试新人，我常问的问题是：“如果你发现一个漏洞，但修复成本很高，你会怎么跟客户沟通？”答案五花八门，有人直接说“那就建议加WAF规则”，有人说“看客户预算”。我比较欣赏的回答是：“先量化风险发生概率和影响范围，再给出三档修复方案，让客户根据业务容忍度自己选。”

这行当表面是技术活，骨子里是沟通活。你手里的扫描器能扫出一堆漏洞，但真正值钱的判断是哪些该优先修，哪些可以缓一缓。那些只盯着“怎么绕过”的人，可能永远想不明白这个道理。

很赞哦!（415）