网络安全面试真题千变万化，但核心考点万变不离其宗——初级考基础实操，中级考故障解决，高级考架构设计。整理了阿里、腾讯、字节等大厂高频真题，分职级给出标准答案模板和实操代码，帮你直击考点、高效备战，面试时从容应答！
一、初级岗（0-2年）：基础实操类
真题1：SQL注入的原理、分类及完整防御方案？
解析+答题模板：原理是攻击者通过构造特殊SQL语句，突破应用程序的输入过滤机制，绕开权限验证，非法访问、篡改甚至删除数据库敏感数据。分类主要分字符型注入、数字型注入、盲注（布尔盲注、时间盲注）三类。
完整防御方案分四层：1. 前端：输入合法性校验，过滤单引号、逗号等特殊字符，限制输入长度；2. 后端：采用参数化查询（预编译语句），避免SQL语句与用户输入直接拼接，拒绝动态拼接SQL；3. 数据库：遵循最小权限原则，禁止应用程序账号拥有root权限，隐藏数据库真实路径，定期备份数据；4. 运维层：开启数据库日志审计，实时监控异常SQL执行，及时发现注入攻击痕迹。
真题2：用Nmap写出端口扫描+漏洞探测+OS识别的完整命令，说明各参数含义及适用场景？
# 完整命令
nmap-sS-sV-O-p1-65535--scriptvuln--open目标IP-oNscan_result.txt
# 参数解析
-sS：半开放扫描（SYN扫描），速度快、隐蔽性强，适合不希望留下大量日志的场景；
-sV：探测目标主机开放端口对应的服务版本及详细信息，便于判断漏洞适配性；
-O：识别目标主机操作系统类型及版本（如CentOS7、WindowsServer2019）；
-p1-65535：扫描所有端口（默认仅扫描常用端口），避免遗漏高危端口漏洞；
--scriptvuln：调用Nmap内置漏洞扫描脚本，排查常见高危漏洞（如Heartbleed、MS17-010）；
--open：仅显示开放状态的端口，简化扫描结果；
-oNscan_result.txt：将扫描结果保存至文本文件，便于后续分析和汇报。
适用场景：企业内部安全巡检、面试现场实操、渗透测试前期信息收集阶段。
二、中级岗（3-5年）：故障应急类
真题：公司核心业务服务器被挖矿病毒入侵，CPU占用率持续100%，部分业务无法正常运行，你的完整处理流程是什么？
解析+答题模板（STAR法则）：
S（情境）：
公司核心电商服务器（CentOS 7系统）突发异常，运维监控告警CPU占用率100%，业务页面加载卡顿，部分订单无法提交，排查发现存在大量异常外联流量，疑似被植入挖矿病毒。
T（任务）：
我作为安全运维负责人，需在最短时间内隔离病毒、恢复业务运行，定位入侵源头并溯源，同时制定长效防护方案，避免同类事件复发。
A（行动）：
1. 紧急隔离：立即断开受感染服务器的公网连接，将其从业务集群中移除，避免病毒扩散至其他服务器；同时备份服务器核心业务数据和日志，防止数据丢失。
2. 病毒清除：用top命令定位挖矿进程（如kdevtmpfsi），执行“kill -9 进程ID”终止进程，删除进程对应的可执行文件（路径通常为/tmp、/var/tmp目录）；用find命令查找隐藏的关联文件，逐一删除并清空回收站；检查crontab定时任务，删除病毒植入的定时启动脚本，避免重启后复发。
3. 溯源分析：查看/var/log/secure、/var/log/messages日志，定位攻击者登录时间、IP及操作痕迹；用Wireshark分析留存的网络流量，确定病毒传播路径；最终排查出是Redis未授权访问漏洞导致，攻击者通过漏洞写入公钥登录服务器，植入挖矿程序。
4. 系统加固：关闭Redis公网端口，设置复杂密码并配置访问白名单；升级系统内核及依赖包，修复已知漏洞；开启防火墙，限制非必要端口访问；配置实时监控告警，对异常进程、外联流量及时预警。
R（结果）：
30分钟内完成病毒清除和业务恢复，无数据泄露及订单损失；成功溯源攻击者IP并上报网安部门，加入防火墙黑名单；通过全公司服务器漏洞扫描，修复12台服务器的同类Redis漏洞；后续半年内未再发生挖矿病毒入侵事件，服务器安全稳定性提升95%。
三、高级岗（5年+）：架构设计类
真题：请为电商平台设计一套高可用、高安全的整体安全架构，说明设计原则及核心组件选型。
解析+答题模板：
设计核心原则：遵循“纵深防御、业务优先、可扩展、可审计”，平衡安全防护与业务效率，覆盖网络、应用、数据、终端全链路。
整体架构分五层设计：
1. 网络安全层：采用“外网-DMZ区-内网-核心数据区”四级分区隔离，外网入口部署下一代防火墙（NGFW），过滤异常流量和攻击；DMZ区部署WAF（Web应用防火墙），拦截SQL注入、XSS等Web攻击，同时部署堡垒机，统一管控服务器登录权限，留存操作日志。
2. 应用安全层：推进SDL（安全开发生命周期），在需求、开发、测试、上线各阶段嵌入安全测试；上线前进行代码审计（用SonarQube）和渗透测试，修复高危漏洞；生产环境部署RASP（运行时应用自我保护），实时拦截应用运行时攻击。
3. 数据安全层：数据传输采用HTTPS（TLS 1.3）加密，核心业务数据（如支付信息、用户手机号）存储采用AES-256加密；实现数据分类分级管理，对核心数据设置访问权限，采用脱敏技术处理测试环境数据；定期开展数据备份和灾备演练，确保极端情况下数据可恢复。
4. 终端安全层：服务器部署EDR（终端检测与响应）工具，实时监控异常进程、文件篡改行为；禁止服务器开启不必要的服务和端口，配置主机防火墙；定期进行终端漏洞扫描和补丁更新，强化终端防护。
5. 监控应急层：搭建“Prometheus+Grafana+ELK”监控平台，覆盖网络流量、应用状态、服务器资源、安全事件全维度；制定应急响应预案，定期组织攻防演练，提升团队应急处置能力；留存安全日志不少于180天，满足合规审计需求。 核心组件选型：防火墙选华为USG6000，WAF选阿里云WAF，堡垒机选奇安信天擎，EDR选火绒终端安全，日志平台用ELK开源方案，平衡成本与防护效果。
