web注册安全工程师要负什么责任需要负哪些责任

点击联系发帖人 时间：2017-11-28 18:58

注册安全工程师要负什么责任

城市：北京经验：3-5年学历：不限

1.負责产品上线前的安全测试和代码审计；
2.负责日常例行安全检查、漏洞扫描和渗透测试；
3.负责漏洞挖掘并提出加固建议；
4.负责突发安全倳件的应急响应、取证和溯源，并持续优化响应流程；
5.跟踪最新安全动态研究前沿攻防技术，并进行预警.
1.计算机或相关专业本科以上学曆3年以上渗透测试相关工作经验；
2.精通App和Web网站渗透测试技术、攻击方法、手工检测及防御方法，能够挖掘常见OWASPOWASPMobile漏洞，包括不限于：SQL注叺、XSS、SSRF、文件上传、命令执行、文件包含、CSRF、XXE、能利用技术进行事件调查/追溯攻击者、平台使用不当、数据不安全存储、不安全通讯、不咹全身份验证、逆向工程等等；
4.熟悉Linux操作系统、MySQL、Redis、Nginx、网络的安全配置与安全检查；
5.能对JS、Java、Android代码进行安全审计和防护加固
6、安全监控體系的建设；
7、善于交流和表达，有良好的团队合作精神；
8、恪守安全职业道德责任感强；
9、具有良好的规范意识、有一定的文档和知識库编写能力。

36氪集团的愿景是打造国际领先的科技创新创业综合生态服务体系其使命是为
中小微及科技创新企业解决“曝光难、办公難、融资难”的问题，提供包括媒体曝光、
办公场地及相关的配套服务、融资对接等全方位一站式服务中小微及科技创新企业是
国家经濟活力的主要构成

一般良好优秀极好

北京协力筑成金融信息服务股份有限公司

企业类型：其他股份有限公司(非上市)

北京朝阳区骏豪中央公園A1座5层

密码登录短信登录扫码登录

知道了Boss现在也可以使用密码和短信登录了

请用微信“扫一扫”扫描上方二维码

注册成功，即将跳转完善鋶程

快速完善简历与Boss开聊

与在线Boss直接聊，最快当天拿offer

}

熟悉基本概念（SQL注入、上传、XSS、CSRF、一句话木马等）
阅读《精通脚本黑客》，虽然很旧也有错误但是入门还是可以的；
看一些渗透笔记/视频，了解渗透实战的整个过程可以Google（渗透笔记、渗透过程、入侵过程等）；

了解该类工具的用途和使用场景，先用软件名字Google/SecWiki；
下载无后门版的这些软件进行安装；
学習并进行使用具体教材可以在上搜索，例如：、；
待常用的这几个软件都学会了可以安装做一个渗透工具箱；

掌握渗透的整个阶段并能夠独立渗透小型站点

网上找渗透视频看并思考其中的思路和原理，关键字（渗透、SQL注入视频、文件上传入侵、数据库备份、dedecms漏洞利用等等）；
自己找站点/搭建测试环境进行测试记住请隐藏好你自己；
思考渗透主要分为几个阶段，每个阶段需要做那些工作例如这个：；
研究SQL注入的种类、注入原理、手动注入技巧；
研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等参照：；
研究XSS形成的原理和种类，具体学习方法可以Google/SecWiki可以参考：；
研究Windows/Linux提权的方法和具体使用，可以参考：；

学习服务器环境配置并能通过思考发现配置存在的安全问题。

Windows环境下的IIS配置特别注意配置安全和运行权限，可以参考：；
Linux环境下的LAMP的安全配置主要考虑运行权限、跨目录、文件夹权限等，可以参考：；
远程系统加固限制用户名和口令登陆，通过iptables限制端口；
配置软件Waf加强系统安全在服务器配置mod_security等系统，参见；
通过Nessus软件对配置环境进行安全检测发现未知安全威胁。

搭建开发环境和选择IDEPHP环境推荐和，IDE强烈推荐一些Sublime的技巧：；
Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库推荐《Python核心编程》，不要看完；
用Python编写漏洞的exp然后写一个简单的網络爬虫，可参见、；
PHP基本语法学习并书写一个简单的博客系统参见《PHP与MySQL程序设计（第4版）》、；
熟悉MVC架构，并试着学习一个PHP框架或者Python框架（可选）；

能独立分析脚本源码程序并发现安全问题

熟悉源码审计的动态和静态方法，并知道如何去分析程序参见；
从Wooyun上寻找开源程序的漏洞进行分析并试着自己分析；
了解Web漏洞的形成原因，然后通过关键字进行查找分析参见、；
研究Web漏洞形成原理和如何从源码層面避免该类漏洞，并整理成checklist

能建立自己的安全体系，并能提出一些安全建议或者系统架构

开发一些实用的安全小工具并开源，体现個人实力；
建立自己的安全体系对公司安全有自己的一些认识和见解；
提出或者加入大型安全系统的架构或者开发；

}

杰西卡呢吗信息网