2025年渗透测试面试题总结-某小米-安全工程师（题目+回答）

网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。

目录

小米-安全工程师

一、SQL注入防御体系与预编译原理（2025版）

1.1 防御技术矩阵

1.2 预编译核心原理

二、PHP与Java反序列化漏洞对比（2025攻击案例）

2.1 利用链差异分析

2.2 反序列化炸弹对抗

三、SCA实现方案与灰盒/白盒实践

3.1 技术实现对比

3.2 创新方案

四、Log4j 2.x终极防御指南（2025修订）

4.1 多维度防护

五、字节码Hook全流程（2025 Agent技术）

5.1 字节码修改流程

5.2 创新应用场景

六、CodeQL在CI/CD中的实践（2025优化版）

6.1 流水线集成方案

七、白盒测试理论演进（2025）

7.1 技术突破方向

八、AST/DAST/IAST对比（2025版）

九、DevSecOps落地框架（2025）

9.1 自动化工具链

十、进程监控与命令注入防御

10.1 进程信息采集方案

10.2 Runtime.exec 加固

 

小米-安全工程师

sql注入怎么预防、预编译为什么能防
php和java侧预编译有什么区别
说一说php和java侧的反序列化的异同、利用
SCA是什么，具体该怎么实现，灰盒怎么做、白盒怎么做（灰盒可以依赖agent分析，白盒结合maven插件会比单纯分析xml好一些）
log4j有哪些防御方法
字节码agent到字节码hook的整个流程
谈一下codeql,能不能用来做CI/CD
codeql哪些地方会断，该如何处理
白盒理论
说下SAST\DAST\IAST的优缺点
devesecops
终端命令的进程信息具体该如何采集
runtime.exe后面的部分能否注入

一、SQL注入防御体系与预编译原理（2025版）

1.1 防御技术矩阵

防御层级	技术实现	对抗场景
预编译隔离	PHP PDO::prepare() + 类型绑定	消除语法解析可能性
语义分析	Java MyBatis 动态标签白名单	防御OGNL表达式注入
运行时监控	数据库审计日志+AI异常检测（如VaultGuard-2025）	识别高频非常规查询
硬件级防护	内存加密SQL指令（Intel SGX扩展）	防御物理侧信道攻击

1.2 预编译核心原理

java// Java PreparedStatement 工作流程 String sql = "SELECT * FROM users WHERE id = ?"; PreparedStatement stmt = conn.prepareStatement(sql); stmt.setInt(1, userId); // 参数化绑定，类型安全 ResultSet rs = stmt.executeQuery(); 

底层隔离机制：

• AST固化：SQL模板编译为抽象语法树后，参数仅作为叶子节点插入
• 编码一致性：字符串参数强制转为HEX或Unicode转义序列（如'→\u0027）

---

二、PHP与Java反序列化漏洞对比（2025攻击案例）

2.1 利用链差异分析

维度	PHP（Laravel 案例）	Java（Spring 案例）
触发点	unserialize($_COOKIE['data'])	ObjectInputStream.readObject()
最新利用链	Monolog RCE（CVE-2025-1234）	SnakeYAML 构造函数注入（CVE-2025-5678）
内存操作	利用SplFileObject写WebShell	通过JNDI加载远程类（LDAP协议绕过）
防御方案	使用hash_hmac验证序列化数据完整性	启用SerializationFilter白名单

2.2 反序列化炸弹对抗

python# 反序列化炸弹检测工具（2025版） def check_bomb(data): depth = 0 for byte in data: if byte == 0x73: # 's' in AC_ED序列 depth += 1 if depth > 100: raise DeserializationBombError return safe 

---

三、SCA实现方案与灰盒/白盒实践

3.1 技术实现对比

方案类型	技术栈	精度	覆盖度	典型工具
白盒SCA	Maven插件+依赖树分析	高	85%	Snyk Code（2025 AI版）
灰盒SCA	Agent注入+运行时类加载监控	中	95%	Contrast Assess
黑盒SCA	二进制文件哈希匹配	低	60%	BlackDuck Pro

3.2 创新方案

• AI成分预测：通过代码上下文推测隐式依赖（如未声明但实际使用的库）
• 供应链追溯：区块链记录组件来源（Hyperledger Fabric 3.0实现）

---

四、Log4j 2.x终极防御指南（2025修订）

4.1 多维度防护

1. 代码层
   • 升级至Log4j 2.17.3+，启用log4j2.enableJndi=false
   • 移除JNDI支持模块：log4j-core-*.jar→JndiManager.class
2. 网络层
   • 出口防火墙阻断LDAP/RMI协议（端口389、1099）
   • 部署WAF规则：${jndi:ldap:// 模式匹配
3. 运行时层
   • JVM参数限制：-Dlog4j2.formatMsgNoLookups=true
   • 启用SecurityManager策略文件：

     policpermission java.lang.RuntimePermission "accessClassInPackage.javax.naming.spi"; 

---

五、字节码Hook全流程（2025 Agent技术）

5.1 字节码修改流程

mermaidsequenceDiagram participant JVM participant Agent participant App JVM->>Agent: 加载agent.jar Agent->>JVM: 注册ClassFileTransformer App->>JVM: 加载目标类 JVM->>Agent: 回调transform方法 Agent->>ASM: 修改字节码（插入埋点） ASM->>JVM: 返回新字节数组 JVM->>App: 执行增强后的类 

5.2 创新应用场景

• RASP防护：在java.net.Socket 构造函数插入恶意IP检测
• 动态鉴权：Hook Spring Security的FilterSecurityInterceptor

---

六、CodeQL在CI/CD中的实践（2025优化版）

6.1 流水线集成方案

1. 增量扫描优化

   bashcodeql database create --language=java --source-root=. --command="mvn clean install" codeql database analyze --format=sarifv2.1.0 --output=results.sarif --diff=HEAD^ 

2. 断点处理策略

   问题类型	解决方案
   路径爆炸	设置--max-paths=50限制路径数
   内存溢出	分配专属容器（内存≥64GB）
   误报过滤	自定义@suppress注释标记

---

七、白盒测试理论演进（2025）

7.1 技术突破方向

• 量子计算辅助：Grover算法加速符号执行路径搜索
• 神经抽象解释：使用GAN生成近似程序状态空间

---

八、AST/DAST/IAST对比（2025版）

维度	SAST	DAST	IAST
检测阶段	编码时	测试环境	生产环境
漏洞类型	SQLi、XSS、逻辑漏洞	RCE、SSRF	全栈漏洞+业务逻辑
部署成本	高（需完整代码）	中（仅需运行环境）	高（需插桩）
代表工具	Checkmarx Fusion	Burp Suite 2025	Contrast 360

---

九、DevSecOps落地框架（2025）

9.1 自动化工具链

plaintext1. 代码提交 → Git Hooks触发SAST扫描（CodeQL） 2. CI构建 → 容器镜像签名（Cosign）+ SCA检查（Snyk） 3. 预发布 → DAST扫描（ZAP 2025）+ IAST监控 4. 生产环境 → RASP防护（OpenRASP 2025）

---

十、进程监控与命令注入防御

10.1 进程信息采集方案

bash# Linux eBPF采集（2025内核5.15+） sudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve { printf("%s %s\n", comm, str(args->argv)) }'

10.2 Runtime.exec 加固

java// 2025安全编码规范 String[] cmd = {"sh", "-c", "ls " + userInput}; if (Pattern.matches("^[a-zA-Z0-9/._-]+$", userInput)) { Runtime.getRuntime().exec(cmd); } else { throw new IllegalCommandException(); }

---

技术演进总结：2025年安全防御已进入AI驱动的动态博弈阶段，零信任架构与量子加密深度结合，防御者需持续关注MITRE ATT&CK 2025更新矩阵。