个人感觉一面的问的漏洞原理比较多
sql注入（面了几家问了几家）
讲一讲sql注入原理？
用户的可控的输入嵌入到sql语句中并被服务端执行，导致应用程序的信息泄露以及攻击者写入webshell
讲一讲sql注入分类？
请求头的注入、联合查询注入、报错注入、布尔盲注、堆叠注入、时间盲注 、宽字节注入
讲一讲报错注入、时间盲注主要用到的函数
报错：updataxml、extractvalue 时间：sleep
讲一讲sql注入防御？
使用预编译；
黑名单：对特殊的字符例如括号斜杠进行转义过滤删除；
白名单：对用户的输入进行正则表达式匹配限制；
规范编码以及字符集，否者攻击者可以通过编码绕过检查；
参数化查询：原理是将用户输入的查询参数作为参数传，而不直接将它们拼接到SQL语而言，将SQL语句和参数分离开来，并通过占位符（一般使用问号“？”）将它们关联起来，这样用户的输入只会被当作参数
讲一讲宽字节注入原理？
由于PHP utf-8编码 数据库GBK编码，PHP发送请求到mysql时经过一次gbk编码，因为GBK是双字节编码，所以我们提交的%df这个字符和转译的反斜杠组成了新的汉字，然后数据库处理的时候是根据GBK去处理的，然后单引号就逃逸了出来
sql注入如何写入webshell？
?id=1' union select 1,"<?php @eval($_POST['shell']);?>",3 into outfile 'C:\\phpstudy\\WWW\\sqli\\shell.php'#
?id=1' union select 1,"<?php @eval($_POST['shell']);?>",3 into dumpfile 'C:\\phpstudy\\WWW\\sqli\\shell.php'#
into outfile 'C:/wamp64/www/shell.php' lines terminated by '<?php phpinfo()?>';
into outfile 'C:/wamp64/www/shell.php' lines starting by '<?php phpinfo()?>';
讲一讲sqlmap中的risk和level的区别？
risk风险等级 越大则测试的语句越多 强调数量
level探测的深度 越大则测试的范围越广 例如cookie host 等等都会测试 强调范围
SSRF
讲一讲SSRF原理？
服务端提供了能够从其他服务器应用获取数据的功能，我们服务端请求的目标都是与该请求服务器处于同一内网的资源服务，但是如果没有对这个请求的目标地址、文件等做充足的过滤和限制，攻击者可通过篡改这个请求的目标地址来进行伪造请求，进行未授权访问。
讲一讲SSRF常用的协议？
file 用于读取文件
dict 用于探测一些端口 以及数据库信息
LDAP 目录扫描
TFTP 它允许客户端从远程主机获取文件或将文件上传至远程主机 上传shell
sftp、gopher
反序列化
讲一讲java反序列化的原理？
Java反序列化漏洞是指恶意用户通过发送精心构造的序列化数据并触发其反序列化过程，从而执行未经授权的代码或操作。攻击者可以利用此漏洞来执行远程命令、绕过应用程序的安全检查、窃取敏感信息等攻击。如果Java应用对用户输入（即不可信数据）做了反序列化处理，那么攻击者可以通过构造恶意输入，让反序列化产生非预期的类或对象，这个类或对象在产生过程中就有可能带来任意代码执行。
讲一讲shiro反序列化原理？
Shiro是Apache下的一个开源Java安全框架，执行身份认证，授权，密码和会话管理。shiro在用户登录时除了账号密码外还提供了可传递选项remember me。用户在登录时如果勾选了remember me选项，那么在下一次登录时浏览器会携带cookie中的remember me字段发起请求，就不需要重新输入用户名和密码。
讲一讲fastjson反序列化原理？
fastjson是阿里巴巴开发的一款将json字符串和java对象进行序列化和反序列化的开源json解析库。fastjson提供了autotype功能，在请求过程中，我们可以在请求包中通过修改@type的值，来反序列化为指定的类型，而fastjson在反序列化过程中会设置和获取类中的属性，如果类中存在恶意方法，就会导致代码执行等这类问题。
讲一讲log4j RCE?
Log4j 是Apache 的一个开源项目，是一款基于Java 的开源日志记录工具。该漏洞主要是由于日志在打印时当遇到`${`后，以:号作为分割，将表达式内容分割成两部分，前面一部分prefix，后面部分作为key，然后通过prefix去找对应的lookup，通过对应的lookup实例调用lookup方法，最后将key作为参数带入执行，引发远程代码执行漏洞。
讲一讲应急响应基本流程？
首先通过分析报警，流量分析，日志来收集所发生事故的信息，判断是什么病毒什么样的事故
按优先级别给事故分级
然后抑制攻击范围，阻止受害面扩大，封ip、联系厂商能否下线、关系统
检查启动项 服务 进程 敏感文件 违规账号 结合everything 看新增加的文件新更改的文件
放到设备里扫一下有没有后门 修补漏洞 打补丁 增加安全策略
恢复业务系统
溯源
写报告
了解过哪些安全设备？
IPS/IDS waf 态势感知 堡垒机 各种漏洞扫描系统 蜜罐
讲一讲蚁剑、冰蟹、哥斯拉、菜刀流量特征？
网上很多这里就不摘录啦
讲一讲中间件常见漏洞？
IIS：PUT漏洞（文件上传） 短文件名猜解 远程代码执行 解析漏洞
Apache：解析漏洞 目录遍历 未授权
Nginx：文件解析（1.jpg/.php） 目录遍历 CRLF注入 目录穿越（../../）
Tomcat 远程代码执行 war后门文件部署
jBoss：反序列化漏洞 war后门文件部署
WebLogic：反序列化漏洞 SSRF 任意文件上传 war后门文件部署