渗透工程师

1、负责项目内外网资产的安全渗透测试工作，包含Web应用、接口、内网主机、中间件、数据库、业务系统的漏洞挖掘与验证安全评估，模拟真实攻击链路；输出渗透测试报告，明确漏洞风险等级、漏洞复现步骤。 2、包含不限于Web渗透测试、APP、小程序、C&S架构的渗透测试、熟悉应急响应、参与过应急演练等。 3、对业务系统做代码审计、逻辑漏洞挖掘，重点挖掘业务逻辑越权、支付逻辑、身份认证、权限绕过类高危业务漏洞。 4、跟踪公开CVE漏洞，对内部资产做漏洞验证与风险巡检；编写POC/EXP，整理内部漏洞知识库，输出修复建议，跟进漏洞修复复测闭环。 5、协助完成等保、风险自查相关安全材料整理；对已发现安全问题，给到开发、运维可落地的修复指导；配合安全事件的应急响应、攻击溯源工作。 6、定期开展安全攻防研究，跟进新漏洞、新攻击手法，沉淀内部攻防工具与文档；参与红蓝对抗、护网类攻防演练任务。

1、熟练掌握常见Web漏洞原理：SQL注入、XSS、文件上传、命令注入、SSRF、XXE、反序列化等；熟悉HTTP、TCP/IP网络协议，了解各类中间件或框架（Tomcat、Nginx、Spring、Vue等）常见漏洞。 2、具备独立Web渗透测试能力，能够熟练使用BurpSuite、Nmap、AWVS、Sqlmap、dirsearch等主流攻防工具；可以手动完成漏洞验证，不依赖工具一键扫描。 3、熟悉内网渗透完整流程：资产收集、信息收集、提权、横向移动、域环境攻击；熟悉Windows、Linux系统常见权限提升手段。 4、至少掌握一门编程语言：Python优先，能够编写简单POC、脚本，能看懂公开EXP；了解基础代码审计思路。 5、能够独立编写规范的渗透测试报告，清晰描述漏洞原理、复现步骤、影响范围以及可落地修复方案；具备漏洞复测闭环意识。 6、Web渗透测试、APP、小程序、C&S架构的渗透测试、熟悉应急响应、参与过应急演练等

待遇： 1、每天8小时工作制，周末双休，享有法定假日； 2、五险一金； 3、春节、中秋节、特殊节日福利等； 4、其他补贴、津贴、项目奖金等。