渗透测试工程师

地点： 菲

薪资：30k-45k

时间：9小时周休一

计算机、网络安全或相关专业，具备 3 年及以上渗透测试或攻防实战经验。

熟悉 TCP/IP、HTTP/HTTPS、DNS、TLS、SSH 等网络协议，理解网络通信及常见攻击原理。

熟悉 Linux、Windows 操作系统，掌握常见系统安全机制、权限模型及提权技术。

熟练使用 Burp Suite、Nmap、Metasploit、Wireshark、Nuclei 等安全工具，能够独立完成渗透测试。

熟悉 OWASP Top 10，具备较强的 Web 漏洞挖掘能力，能够独立分析复杂漏洞及攻击链。

至少熟练掌握 Python、Java、Go、PHP、JavaScript 中的一种编程语言，具备编写漏洞验证工具及自动化脚本的能力。

具备一定的代码审计能力，能够结合源代码分析漏洞成因，而非仅依赖自动化扫描工具。

熟悉常见内网渗透技术，包括信息收集、权限提升、横向移动、域环境安全评估等。

了解 Docker、Kubernetes、云平台等技术架构及其常见安全风险。

具备良好的技术文档能力，能够清晰描述漏洞原理、复现过程、影响范围和修复方案。

三、加分项

具备大型互联网企业、金融、游戏或复杂业务系统的渗透测试经验。

有 SRC 漏洞提交经历，或在知名漏洞平台获得过较高排名。

独立发现过高危漏洞、0day 漏洞，或获得过 CVE 编号。

具备 Java 反序列化、Fastjson、Spring、Shiro 等漏洞的深入研究经验。

熟悉 Kubernetes 攻防、容器逃逸、Linux 内核漏洞利用。

具备红队实战、攻防演练、APT 攻击链分析经验。

具备 OSCP、OSEP、OSWE、CRTO 等相关认证。

在 GitHub、安全社区或技术博客发表过高质量安全研究成果。

四、岗位能力要求

我们希望候选人不仅能够使用工具发现漏洞，还应具备以下核心能力：

独立发现漏洞： 能够针对复杂业务系统自主挖掘安全问题。

深入理解原理： 能够从协议、代码、系统及权限机制等底层分析漏洞。

具备实战能力： 能够独立完成从信息收集、漏洞利用到攻击路径验证的完整测试。

推动问题解决： 能够准确判断漏洞危害，提供可执行的修复建议并完成复测。

岗位定位： 偏实战技术型渗透测试工程师，以漏洞挖掘、代码审计和真实攻防能力为核心，不以自动化扫描或合规检查作为主要工作内容。" "渗透测试： 负责公司 Web 网站、API 接口、移动应用、服务器及内部业务系统的安全测试，发现并验证安全漏洞。

漏洞挖掘： 深入研究常见及复杂漏洞，包括 SQL 注入、XSS、SSRF、RCE、文件上传、反序列化、权限绕过、业务逻辑漏洞等。

代码审计： 对 Java、PHP、Python、Node.js、Go 等业务代码进行安全审计，定位漏洞