小米 安全工程师

一面

时长：45分钟

1. sql注入怎么预防、预编译为什么能防？
2. php和java侧预编译有什么区别
3. SSRF php 和 java 分别有什么利用方式
4. 说一下php和java侧反序列化的异同、利用
5. SCA是什么，具体该怎么实现，灰盒怎么做、白盒怎么做（灰盒可以依赖agent分析，白盒结合maven插件会比单纯分析xml好一些）
6. log4j有哪些防御方法
7. 从agent到字节码hook的整个流程（伪代码）
8. 谈一下codeql，能不能用来做CI/CD
9. codeql哪些地方会断，该怎么处理
10. 白盒理论了解多少，相比于灰盒
11. 说一下SAST、DAST、IAST的优缺点
12. 了解 devsecops 吗
13. 未来想从事什么方向

时长：45分钟

1. 说项目
2. 说实习 x2
3. 终端命令的进程信息具体该如何采集
4. runtime.exec 后面的部分注入能不能执行
5. 漏洞挖掘和SDL 对哪部分感兴趣