渗透测试工程师

【岗位职责】

1. 独立负责企业内外网、Web业务系统、APP、小程序、接口、服务器、等全场景渗透测试项目，制定测试方案、测试范围及测试流程。

2. 独立挖掘各类中高危安全漏洞，包括非常规隐性漏洞、业务逻辑漏洞、权限绕过漏洞、二次漏洞等，完成漏洞深度利用、权限提升、内网渗透测试。

3. 独立编写专业、完整的渗透测试报告，精准描述漏洞风险、影响范围、利用方式，输出可落地的整改方案及修复建议，跟进漏洞整改复测工作。

4. 负责常态化安全巡检、风险排查，定期梳理业务系统安全风险，输出风险评估报告，协助优化企业安全防护体系。

5. 参与红蓝对抗、攻防演练、重大活动安全保障，配合开展应急响应、漏洞溯源分析工作。

6. 规范测试流程，梳理团队安全知识库。

【任职资格】

1. 本科以上学历，网络安全相关专业，3年以上相关工作经验。

2. 攻防能力：精通各类Web、内网渗透测试流程，熟练掌握业务逻辑漏洞、权限绕过、代码执行、反序列化、漏洞组合利用等高级攻防手法，具备完整的内网渗透、横向移动、权限维持能力。

3. 工具与脚本：熟练深度使用Burp Suite、Xray、CS、MSF等攻防工具，熟悉Python 脚本开发，能够独立定制扫描脚本、漏洞利用脚本、批量检测工具；熟练掌握Shell脚本编写。

4. 代码审计：熟悉Java、PHP、Python主流Web开发语言，能够独立开展中小型项目代码审计，挖掘代码层深层漏洞。

5. 环境与架构：精通Windows、Linux服务器安全配置与漏洞利用，熟悉微服务、容器、云服务器（阿里云/腾讯云）基础架构及云安全风险，了解Docker、K8s基础安全问题。

6. 安全设备：熟悉WAF、防火墙、入侵检测设备（IDS/IPS）防护原理，具备绕过主流安全防护设备的测试能力。

【加分项】

1. 具备大型政企、互联网企业渗透测试项目经验，参与过省级以上级别攻防演练；

2. 长期在各大SRC平台提交高危漏洞，有知名厂商漏洞收录记录；

3. 持有CISP-PTE、CISP-IRE、OSCP等安全证书。