拓竹一面

sql注入是否了解，预编译，为什么order by不行
ssrf重绑定，介绍一下什么东西
文件包含，如果没有文件上传呢，filter链or临时文件
java安全懂不懂，反序列化漏洞是否懂，有没有做过代码审计
serviceaccount懂吗，我说就是类似于token的凭证，通过他向apiserver发请求进行集群控制，很多因为权限给的过宽例如可以新建一个特权容器进行逃逸。
csp是什么，有没有绕过csp的经历(主要说了下ctf里但是没讲清楚
请求走私，post分段 后者我之前没听说过
做黑盒agent如何进行agent敏感操作的拦截，流量网关识别。
src，hw实战经历，前者就一个高危，后者就校内hw，有个三亚的但没有很投入，即没啥产出。
有没有挖xss的src。
为什么不多挖src，我说ai时代来了就主要是用ai去挖，skill和agent效果不是很好
我说，懂java安全，白盒cnvd就是审java，cc链，fastjson链子debug过
进来想做什么：实战攻防结合ai，比如先做黑盒agent，架构流程熟悉再迁移白盒。
提问：企业内部进行ai for sec建设如何参考外界前沿的idea?回答，企业更关注垂直落地，权限管理，能够安全的干活，提高召回率 外界黑客主要就是猛打，能出洞就行，这是二者差异。