腾讯

1. 编写工具的具体思路，sql注入，xss
2. csrf的防御， referer验证，referer为空则防御(referer是浏览器特性，为空排除特性之外的问题则做防御验证)，
3. xxe无回显探测 dns验证，内部实体探测
4. xss硬编码如何利用 前端dom型被js代码转义出来，比如\u003c,前提是返回在了js中，在html中除非具备某种标签，其特性可导致特殊编码执行，则能转义出来
5. java反序列化基础
6. 白盒审计能力问题–这一点应该说可以自行拓展，对owasp10做过调试，对tp审计做过深入调试，对rmi反序列化做过调试，学习过一本书的样子
7. 密码重置处的逻辑问题–第一二三步验证不统一，验证统一但后台返回的更改密码的token可被预测，枚举可猜解，返回敏感数据，后端与前端验证不一致，存在数据查询则可注入，xss编码问题

问了各种问题，包括项目中如何解决问题，应急响应做过哪些处理，针对大量请求高并发的解决 有很多具体的场景，询问你的思路 聊了国家安全，各种安全视界的思考，见识