Web安全测试面试题及详细答案（实战版）

Web安全测试面试题及详细答案（实战版）本套面试题贴合企业岗位真实面试场景，覆盖Web安全基础、核心漏洞原理、渗透测试流程、工具使用、实战技巧、应急处置及安全合规等核心考点，答案均为一线实操经验总结，适配初级、中级Web安全测试岗位面试作答。一、Web安全基础面试题1、简单说下Web安全测试的核心流程是什么？答：Web安全测试是一套标准化的闭环流程，实操中主要分为6个步骤：第一是信息收集，通过域名、IP、端口、目录、指纹等信息，摸清网站架构、服务器版本、开发语言、中间件、后台地址等基础信息；第二是漏洞探测，针对收集到的信息，对前台功能、后台接口、用户交互点、权限控制点进行全面扫描和人工测试；第三是漏洞验证，对扫描出的可疑漏洞进行人工复现，排除误报、漏报，确认漏洞真实可利用性；第四是风险评级，根据漏洞危害程度、影响范围、可利用难度，划分高危、中危、低危、信息泄露四个等级；第五是漏洞修复，协助开发人员定位漏洞代码位置，提供对应的修复方案，指导整改；第六是复测归档，修复完成后再次测试验证漏洞已修复，无二次漏洞，最后整理测试报告归档。2、HTTP和HTTPS的核心区别是什么？443、80端口分别对应什么？答：核心区别有三点：一是传输方式，HTTP是明文传输，数据全程裸奔，中间人可以直接抓取、篡改数据；HTTPS是基于SSL/TLS加密传输，数据传输过程中加密，无法直接窃取和篡改。二是端口不同，HTTP默认使用80端口，HTTPS默认使用443端口。三是安全性与证书，HTTP无身份验证，容易遭遇伪造站点、中间人攻击；HTTPS需要CA机构颁发的SSL证书，可验证服务器身份，防伪造、防劫持。简单来说，80端口是HTTP明文访问端口，443端口是HTTPS加密访问端口。3、Cookie、Session、Token的区别和各自的安全风险？答：三者都是Web用来做用户身份认证的机制，核心区别和风险如下：Cookie：存储在客户端浏览器的小型文本数据，由服务器下发，浏览器自动携带发送。安全风险主要是XSS窃取Cookie、CSRF伪造请求、Cookie未设置HttpOnly、Secure、SameSite属性导致泄露和劫持。Session：存储在服务器端的用户会话数据，客户端仅存储SessionID（一般存Cookie中）。风险主要是Session泄露、Session固定、会话超时时间过长、服务器Session存储不当导致批量泄露。Token：主流为JWT令牌，无状态认证，数据加密存储在客户端，服务器无需存储会话信息。风险主要是Token过期时间过长、密钥泄露导致伪造Token、未做签名验证、Token可重放使用。4、什么是同源策略？跨域的安全风险有哪些？答：同源策略是浏览器的核心安全机制，协议、域名、端口三者完全一致才属于同源，不同源的网站禁止互相读取、操作资源，防止恶意网站窃取用户数据。日常开发中经常需要跨域访问，若跨域配置不当会产生严重安全风险：一是配置通配符跨域（*），导致任意恶意域名都可访问接口数据；二是未校验请求来源，允许非法站点跨域请求，窃取用户隐私、执行恶意操作；三是携带Cookie跨域配置不当，引发CSRF攻击。二、核心漏洞原理与实操面试题（高频）1、详细说说SQL注入漏洞的原理、分类及修复方案答：漏洞原理：网站直接将用户可控的输入参数拼接到SQL语句中执行，没有做过滤、转义，攻击者可以构造恶意SQL语句，篡改原有SQL逻辑，实现查询、删除、修改数据库数据，甚至获取服务器权限。常见分类：1.按注入类型：数字型注入、字符型注入、搜索型注入；2.按回显方式：显错注入（页面直接报错回显数据）、盲注（无回显，分为布尔盲注、时间盲注）；3.按提交方式：GET注入、POST注入、Cookie注入、HTTP头注入。修复方案：1.优先使用预编译语句（PDO、MyBatis预编译），杜绝字符串拼接SQL；2.对用户输入做严格过滤，拦截SQL关键字、特殊符号；3.关闭数据库错误回显，隐藏数据库报错信息；4.数据库账号最小权限配置，禁止使用root、最高权限账号连接网站数据库；5.部署WAF设备，拦截恶意SQL请求。2、XSS漏洞的分类、利用方式和修复方法答：XSS即跨站脚本攻击，核心是网站对用户输入的前端脚本未做过滤，导致恶意JS代码被浏览器解析执行。分类：1.存储型XSS（高危）：恶意代码提交后存储在服务器数据库，所有访问对应页面的用户都会触发攻击，比如评论区、留言板漏洞；2.反射型XSS（中危）：恶意代码拼接在URL中，用户点击链接后临时触发，不存储在服务器，一次性攻击；3.DOM型XSS：前端JS直接操作URL参数、页面DOM节点，无需服务器参与，纯前端触发漏洞。常见利用方式：窃取用户Cookie、劫持用户会话、伪造页面钓鱼、诱导用户点击恶意链接、盗取账号密码、植入挖矿脚本。修复方案：1.对用户输入输出做HTML实体转义，将<、>、引号等特殊符号转义为普通字符；2.设置Cookie的HttpOnly属性，防止JS读取Cookie；3.配置CSP内容安全策略，限制脚本加载和执行来源；4.过滤恶意JS标签、事件函数。3、CSRF漏洞原理、与XSS的区别、修复方案答：漏洞原理：利用用户已登录的会话状态，诱导用户点击恶意链接、访问恶意页面，借用用户身份在不知情的情况下执行操作，比如修改密码、转账、发布内容等。核心是网站未校验请求的合法性，默认接受用户浏览器携带的会话请求。与XSS的核心区别：XSS是执行恶意脚本，主动窃取用户数据、控制页面；CSRF是借用用户身份，被动发起伪造请求，无法获取用户数据，只能执行操作。简单说：XSS是“拿权限”，CSRF是“用权限”。修复方案：1.核心接口增加CSRFToken，每次请求校验随机Token；2.校验请求Referer、Origin头部，拦截非法来源请求；3.设置CookieSameSite属性，限制Cookie跨站携带。4、文件上传漏洞的原理、绕过方式与修复答：漏洞原理：网站文件上传功能未严格校验文件后缀、文件类型、文件内容，允许攻击者上传php、jsp、asp等可执行脚本文件，访问文件路径即可执行恶意脚本，控制服务器。常见绕过方式：1.后缀绕过：利用大小写绕过（Php、JSP）、特殊后缀绕过（php5、phtml）、空格绕过、点后缀绕过；2.MIME类型绕过：修改请求头Content-Type，伪造图片、文档类型；3.图片马绕过：图片后缀+脚本内容，配合文件包含漏洞执行；4.黑名单绕过：黑名单过滤不全，遗漏冷门脚本后缀。修复方案：1.优先使用白名单校验，只允许jpg、png、pdf等合法后缀；2.校验文件真实内容，不仅仅校验后缀和请求头；3.上传文件重命名，随机生成文件名，禁止用户自定义文件名；4.上传目录禁止脚本执行权限，隔离上传目录与程序目录。5、文件包含漏洞原理、类型及利用场景答：漏洞原理：网站使用include、require等包含函数，引入文件的参数由用户可控，未做过滤，攻击者可引入本地或远程恶意文件，执行恶意代码。分为两类：1.本地文件包含（LFI）：只能读取、包含服务器本地文件，可读取配置文件、日志文件、密钥文件；2.远程文件包含（RFI）：服务器开启allow_url_include配置，可引入远程恶意脚本，直接getshell。常见利用场景：配合文件上传漏洞包含图片马、包含日志文件写入后门、读取数据库配置文件获取账号密码。修复方案：禁用远程文件包含配置、对包含路径做白名单限制、过滤路径遍历符号（../）。6、逻辑漏洞常见类型及测试思路（面试高频）答：逻辑漏洞是Web测试中最常见、危害极高的漏洞，无固定payload，靠业务逻辑测试，核心常见类型：1.越权漏洞：分为水平越权（同权限用户互相查看、修改数据，比如A看B的订单）、垂直越权（低权限用户执行高权限操作，普通用户操作管理员功能）；2.支付逻辑漏洞：价格篡改、金额负数、重复支付、订单篡改、免费购买商品；3.验证码漏洞：验证码可复用、验证码可爆破、前端明文返回验证码、无验证码次数限制；4.密码重置漏洞：任意用户密码重置、重置Token可猜测、手机号/邮箱绑定篡改；5.接口逻辑漏洞：接口未鉴权、参数篡改、重复提交、超时未失效。测试思路：全程抓包改参、多账号对比测试、打破正常业务流程、篡改关键参数、跳过前置校验步骤。7、SSRF漏洞原理、危害与修复答：原理：服务器端发起请求的接口可控，比如图片远程下载、URL预览功能，攻击者可构造恶意URL，让服务器主动访问内网地址、外网恶意地址。核心危害：探测内网端口、扫描内网资产、读取本地文件、攻击内网服务器、绕过外网防火墙限制。修复方案：禁止访问内网IP、过滤、内网网段、校验请求URL白名单、禁用file、gopher等危险协议。三、渗透测试工具与实操面试题1、日常测试中常用的工具有哪些？各自用途？答：日常工作主要用以下工具，各司其职：1.BurpSuite：核心抓包改包工具，用于拦截HTTP/HTTPS请求、篡改参数、爆破密码、扫描漏洞、重放请求，是Web测试必备工具；2.Nmap：端口扫描、资产探测、服务版本识别、主机存活探测，用于前期信息收集；3.Dirsearch/御剑：目录扫描，探测网站后台地址、隐藏目录、备份文件、源码文件；4.AWVS/Netsparker：自动化漏洞扫描工具，批量探测SQL注入、XSS、文件上传等常规漏洞；5.Sqlmap：SQL注入专用工具，自动化探测、利用注入漏洞，脱库、获取服务器权限；6.MDUT：综合渗透工具，集成多种漏洞检测、利用模块，适配国内Web场景。2、BurpSuite测试时遇到HTTPS抓不到包怎么解决？答：这是实操高频问题，主要有4种解决方式：1.浏览器未安装Burp根证书，导入证书并信任，即可解密HTTPS流量；2.网站开启证书校验、HPKS策略，需要在Burp中关闭证书验证，浏览器关闭安全校验；3.设备开启代理冲突，关闭系统、浏览器其他代理，仅保留Burp代理；4.部分APP双向认证，需要抓取APP内置证书，替换Burp证书后抓包。3、自动化扫描工具扫出漏洞后，为什么必须人工复测？答：自动化工具存在大量误报、漏报，不能直接作为漏洞结论：第一，工具是固定规则匹配，很多页面报错、参数异常会被误判为高危漏洞，实际无法利用；第二，工具无法识别业务逻辑漏洞，只能检测通用漏洞，逻辑漏洞必须人工测试；第三，部分漏洞需要特定条件、权限才能利用，工具无法判断利用条件，需要人工复现确认危害；第四，人工复测可以确认漏洞影响范围、给出精准修复方案，工具仅能提示漏洞点，无法细化风险。四、安全应急与漏洞复盘面试题1、测试中发现高危漏洞，你的处理流程是什么？答：我会按照应急处置规范闭环处理：1.立即复现漏洞，全程截图、录屏、记录漏洞路径、参数、危害程度，留存完整证据；2.第一时间同步项目负责人、开发负责人，告知漏洞等级、风险后果，提醒临时防护；3.给出紧急临时修复方案，比如临时关闭接口、增加权限校验、配置WAF拦截，防止漏洞被利用；4.跟进开发修复进度，修复完成后第一时间复测；5.确认漏洞修复无误、无衍生漏洞后，整理漏洞报告，归档复盘。2、漏洞修复后复测需要重点检查哪些点？答：复测不只是单纯验证漏洞是否修复，还要全方位校验：1.原漏洞利用方式是否彻底失效，无法复现；2.修复过程是否引入新漏洞、新bug，不影响原有业务功能；3.同类型功能、同参数接口是否存在同源漏洞，批量排查；4.防护策略是否生效，过滤规则、权限校验、Token验证是否正常；5.边界场景测试，特殊符号、异常参数、绕过方式是否全部拦截。五、安全合规与岗位认知面试题1、了解等保2.0吗？Web系统常见的等保测评要求有哪些？答：等保2.0是国内网络安全等级保护的核心标准，所有政企、企业核心系统都需要合规测评，Web系统核心要求：1.身份鉴别：登录需要账号密码、验证码，支持会话超时，防止暴力破解；2.访问控制：精细化权限划分，不同角色不同权限，防止越权访问；3.安全审计：记录登录日志、操作日志、异常访问日志，可追溯；4.漏洞防护：定期漏洞扫描、渗透测试，及时修复高危漏洞；5.数据安全：用户隐私数据加密存储、传输，防止数据泄露。2、Web安全测试和普通功能测试的区别是什么？答：核心区别是测试目标、思维方式完全不同：普通功能测试：以业务正常可用为核心，验证功能是否符合需求文档，输入正常参数、边界参数，保证业务流程通顺；Web安全测试：以防御风险、防止被攻击为核心，打破正常业务逻辑，输入恶意参数、异常请求，寻找系统漏洞、权限漏洞、数据风险，核心目标是保障系统、数据、权限安全。六、面试压轴实操题1、给你一个商城网站，你会从哪些维度开展安全测试？答：我会从全站维度分层测试，覆盖所有核心场景：1.用户模块：注册、登录、找回密码、个人信息修改，测试验证码、爆破、越权、密码重置漏洞；2.商品模块：商品查询、搜索、详情展示，测试SQL注入、XSS、接口泄露；3.购物与支付模块：加购、下单、改价、支付、退款，重点测试支付逻辑漏洞、订单越权、重复下单；4.文件功能模块：头像上传、凭证上传，测试文件上传漏洞、