安全测试面试题及详细答案（真实职场版）

安全测试面试题及详细答案（真实职场版）一、基础认知类（入门必问）1、什么是安全测试？和普通功能测试有什么区别？参考答案：安全测试是在软件产品生命周期中，通过各类测试手段发现系统潜在的安全风险、漏洞、合规问题，保障系统数据、权限、服务稳定的测试工作，核心目标是防攻击、防泄露、防越权、防宕机。和普通功能测试的核心区别：侧重点不同：功能测试验证业务是否能用、是否符合需求；安全测试验证业务是否安全、是否能被恶意利用。测试思维不同：功能测试以正常场景、异常场景为主；安全测试以恶意场景、攻击场景、越权场景为主。结果标准不同：功能测试看是否满足需求文档；安全测试看是否存在漏洞、是否符合安全规范、是否可被利用。覆盖范围不同：功能聚焦业务逻辑；安全覆盖权限、数据、接口、服务器、代码、传输、存储全链路。2、安全测试的核心目标是什么？参考答案：核心围绕四个维度，也就是行业常说的安全三要素延伸：保密性：保证用户数据、业务敏感数据不被未授权查看、窃取、泄露。完整性：保证数据传输、存储过程中不被篡改、伪造、替换。可用性：保证系统不会被恶意攻击导致瘫痪、卡顿、无法访问。可控性：保证所有操作可追溯、权限可管控、恶意操作可拦截。3、日常工作中，安全测试主要覆盖哪些测试范围？参考答案：我日常工作会覆盖全业务链路的安全测试，主要分为几大块：权限安全：水平越权、垂直越权、未授权访问、权限绕过。接口安全：参数篡改、重放攻击、接口未鉴权、恶意参数提交。数据安全：敏感数据明文传输、明文存储、数据泄露、批量遍历查询。常见漏洞：SQL注入、XSS跨站脚本、CSRF跨站请求伪造、文件上传漏洞、目录遍历、弱口令。业务安全：短信轰炸、验证码绕过、密码重置漏洞、恶意薅羊毛、交易篡改。基础配置安全：默认端口开放、多余服务开启、错误信息泄露、版本信息暴露。二、核心漏洞类（面试高频）1、简单说下什么是SQL注入？产生原因和修复方案是什么？参考答案：SQL注入是攻击者通过在页面输入框、接口参数中，插入恶意SQL语句，后台直接拼接SQL执行，导致数据库数据被查询、篡改、删除的漏洞。产生原因：后台代码直接拼接用户可控参数，没有做过滤、转义、预编译处理，用户输入被当作SQL代码执行。常见场景：登录框、搜索框、URL参数、接口查询参数。修复方案：优先使用预编译语句+参数绑定，杜绝SQL拼接。对用户输入做严格过滤，拦截SQL关键字。数据库账号最小权限配置，禁止使用root、最高权限账号连接业务库。关闭数据库错误回显，避免通过报错爆破数据库信息。2、什么是XSS漏洞？分为哪几类？如何测试和修复？参考答案：XSS即跨站脚本漏洞，是攻击者向页面注入恶意JS脚本，其他用户访问页面时脚本被执行，造成Cookie窃取、页面篡改、钓鱼诱导等风险。分为三类：存储型XSS：恶意代码存入服务器数据库，所有访问用户都会触发，危害最大，常见于评论、留言、公告功能。反射型XSS：恶意代码通过URL参数携带，需要用户点击链接触发，不会存储到服务器，常见于搜索、跳转页面。DOM型XSS：不经过服务器，直接前端JS解析URL参数、页面DOM节点触发，属于前端漏洞。测试方式：在输入框、URL参数、接口参数中输入常规XSSpayload，观察是否弹窗、代码是否被页面渲染。修复方案：前端对输入输出做HTML转义。后端统一过滤恶意脚本标签。配置CSP安全策略，限制脚本加载执行。关键Cookie设置HttpOnly，防止被脚本窃取。3、什么是CSRF漏洞？原理和修复方式？参考答案：CSRF是跨站请求伪造，核心是利用用户已登录的身份，诱导用户在不知情的情况下访问恶意页面，自动发起伪造请求，完成改密码、改资料、下单、转账等操作。漏洞原理：网站请求只依赖Cookie、Session身份校验，没有校验请求来源合法性，攻击者可以伪造请求携带用户有效凭证。修复方案：核心接口增加CSRFToken校验，每次请求携带随机唯一令牌。校验请求Referer、Origin来源，拦截非法跨域请求。敏感操作增加二次验证，比如短信验证码、密码验证。4、文件上传漏洞怎么测？漏洞危害和修复方案？参考答案：文件上传漏洞是上传功能未严格校验文件后缀、文件类型、文件内容，导致恶意脚本文件（php、jsp、asp）可被上传并执行，攻击者可直接控制服务器。测试思路：上传脚本文件，测试是否可直接上传成功。绕过前端后缀校验，抓包修改文件后缀、Content-Type。测试后缀绕过，比如php5、phtml、jspx等畸形后缀。测试文件头绕过，伪装图片文件上传脚本内容。修复方案：后端强制校验文件后缀，只允许业务需要的图片、文档格式。校验文件真实内容，不只校验后缀和请求头。上传文件单独存储在非网站根目录，禁止脚本执行权限。上传后的文件重命名，避免路径可预测。5、简述越权漏洞，水平越权和垂直越权的区别？参考答案：越权是Web项目中最高频的业务安全漏洞，核心是权限控制不严，用户可以操作不属于自己的数据和功能。水平越权：同级用户之间越权，A用户可以查看、修改、删除B用户的数据。比如普通用户修改自己的订单ID，可查询他人订单。垂直越权：低权限用户越权操作高权限功能，比如普通用户可以访问管理员后台页面、执行管理员操作。测试方法：抓包修改用户ID、订单ID、账号ID、权限参数，替换为其他用户或管理员参数，查看是否可正常请求。修复方案：所有接口、页面后端强制做身份和权限校验，根据当前登录用户身份，校验数据归属权和功能权限，不依赖前端隐藏和控制。三、接口安全与业务安全1、接口安全测试主要测哪些点？参考答案：我做接口安全测试，会重点覆盖以下核心点：未授权访问：不带token、session是否能正常请求接口。权限校验：不同角色、不同用户是否存在越权请求。参数安全：参数篡改、参数溢出、特殊字符注入、批量遍历参数。重放攻击：抓包重复请求，是否可重复下单、重复扣款、重复领奖。频率限制：是否存在短信轰炸、接口无限流、暴力破解风险。数据返回：接口是否返回过多敏感字段，手机号、身份证、明文密码、用户隐私数据。超时与失效：token是否长期有效，退出登录后是否依然可用。2、短信/验证码安全测试怎么测？有哪些常见漏洞？参考答案：常见测试点和漏洞：短信轰炸：接口无频率限制，可无限发送验证码。验证码绕过：前端删除验证码校验参数、验证码为空可直接通过。验证码万能：任意验证码均可登录、重置密码。验证码有效期过长、无过期机制。验证码位数过少，可暴力破解。手机号篡改，可给任意手机号发送验证码，造成骚扰或账号劫持。修复方案：增加接口限流、验证码有效期限制、错误次数锁定、后端强制校验验证码有效性、绑定对应手机号。3、什么是重放攻击？如何测试和防御？参考答案：重放攻击就是抓取正常业务请求包，重复发送，利用接口无防重机制，实现重复交易、重复领奖、刷数据、薅羊毛等恶意操作。测试方式：正常完成一次业务操作，抓取请求报文，在短时间内重复多次发送，观察是否多次生效。防御方案：接口增加唯一随机nonce值、时间戳校验。服务端记录已处理请求，短时间内重复请求直接拦截。核心交易接口加业务唯一单号，保证单次单号仅生效一次。设置请求时间戳有效期，拦截超时、超频请求。四、测试工具与实操流程1、你日常做安全测试常用哪些工具？分别用来做什么？参考答案：我日常以手工测试为主，工具辅助提高效率，常用工具如下：BurpSuite：核心抓包改包、漏洞探测、爆破密码、重放请求、批量扫描接口漏洞。Nessus、AWVS：自动化漏洞扫描，探测端口、组件漏洞、常规Web漏洞。Dirsearch：目录扫描，探测后台地址、备份文件、敏感目录、配置文件泄露。Xray：被动+主动扫描，快速发现SQL注入、XSS、弱口令等常见漏洞。Navicat：本地测试数据库注入、验证漏洞影响范围。我个人更看重手工测试，自动化工具主要用来辅助查漏，核心业务漏洞、越权、业务逻辑漏洞基本都是手工挖掘。2、简单说下一个项目的安全测试完整流程？参考答案：我参与项目安全测试，全程遵循需求阶段介入、测试覆盖全流程、上线前收尾的模式，具体流程：需求梳理阶段：梳理业务风险点，比如登录、支付、用户隐私、权限体系，提前预判高危风险，制定测试重点。代码/架构初审：了解接口鉴权方式、数据存储方式、权限设计，排查基础架构安全问题。工具初扫：用扫描工具对项目域名、接口、目录做初步扫描，剔除基础漏洞。手工深度测试：重点测试权限、越权、注入、上传、业务逻辑漏洞、接口安全、数据安全，这是核心环节。漏洞复现与定级：对发现的漏洞逐一复现，确认可利用性，区分高危、中危、低危、温馨提示，标注影响范围和危害。提交漏洞与跟进修复：输出安全测试报告，同步开发修复，修复完成后复测闭环。上线前终审：关键项目上线前二次抽检，确认高危漏洞全部修复，无遗留风险。3、安全漏洞如何定级？高危、中危、低危怎么区分？参考答案：我日常工作按照漏洞危害、可利用性、数据影响范围定级，标准很清晰：高危漏洞：可直接批量拿数据、控制服务器、接管账号、任意操作业务权限。比如SQL注入、文件上传后门、垂直越权、未授权核心接口访问、批量用户数据泄露。要求必须立即修复，不允许带漏洞上线。中危漏洞：可局部利用，危害可控，但存在安全隐患。比如普通XSS、CSRF、短信轰炸、单一用户越权、敏感数据未脱敏。需要迭代内完成修复。低危漏洞：难以利用、危害极小。比如页面版本信息泄露、无用端口开放、弱提示错误信息，可根据项目情况选择性修复。五、高阶面试问题（加分项）1、你工作中挖到过最有价值的漏洞是什么？详细说下过程和修复结果参考答案（真实职场应答模板，可直接使用）：之前在用户管理系统测试时，发现一处批量水平越权漏洞，属于高危漏洞。测试过程：普通用户登录后，抓包修改请求中的用户ID参数，遍历批量ID，发现接口没有做数据归属校验，可直接查询、导出全站所有用户的手机号、身份证、注册信息，数据泄露风险极大。我当时第一时间复现确认，统计了影响范围，编写详细漏洞复现步骤、危害说明，同步给开发和负责人，定为高危漏洞，要求紧急修复。修复方案：后端接口增加登录用户身份校验，查询数据必须匹配当前用户所属权限，禁止跨用户批量查询。修复完成后我做了多场景复测，遍历、单条修改均无法越权，漏洞彻底闭环。2、如何防止业务逻辑漏洞？业务安全和通用Web安全的区别？参考答案：通用Web安全是通用型漏洞，比如注入、XSS、上传漏洞，是所有网站通用的问题，可通过工具扫描、通用规范修复。业务安全是贴合业务场景的专属漏洞，没有固定漏洞特征，工具很难扫出来，必须靠手工业务思维测试，比如薅羊毛、重复下单、恶意退款、权限绕过、验证码逻辑绕过等。防止业务逻辑漏洞的核心：所有核心业务逻辑、关键校验必须放在后端，前端校验仅做体验优化，不能作为安全依据。核心操作增加幂等性、唯一性校验，防止重复操作。业务权限、数据归属、操作频次全程校验。对异常操作、高频恶意操作做风控拦截。3、谈谈你对安全左移的理解？工作中怎么落地？参考答案：安全左移就是把安全测试、安全规范、风险把控从传统的上线前测试，提前到需求、开发、编码阶段，越早发现问题，修复成本越低。我工作中的落地方式：需求评审阶段，主动识别高风险业务，提出安全约束要求。开发阶段，同步告知开发常见漏洞规范，避免写出高危漏洞代码。提测后优先做核心安全用例测试，提前拦截漏洞。定期复盘项目漏洞，把高频问题整理成规范，规避重复踩坑。六、面试收尾问答1、安全测试用例怎么设计？和功能用例的区别？参考答案：安全用例不关注业务是否正常使用，核心关注业务是否可被恶意