工作地点：菲律宾BGC
行业类型：菲律宾本土游戏
工作时间：9小时月休8天加菲假
薪资范围：面议
岗位定位
负责公司在线娱乐平台的攻击面安全评估，以攻击者视角发现高风险漏洞，尤其是涉及资金和账户的业务逻辑问题，并推动攻击能力的沉淀与自动化。
岗位职责
主导公司 Web、移动 App（Android/iOS）、API、后台管理系统及零信任接入体系的渗透测试，独立完成从信息收集、漏洞挖掘、利用到报告的全流程。
深入核心业务链路（充值、提现、活动奖励、账户体系、游戏交互）开展业务逻辑漏洞挖掘，识别越权、竞态条件、风控绕过、奖励滥用等高价值风险。
主导红队演练，模拟外部攻击及内部账号/终端失陷场景，评估横向移动与权限提升路径，输出攻击链复盘。
参与新业务、新版本上线前的安全评审与测试，制定测试标准，推动研发修复并复测闭环。
与安全开发团队协作，将测试方法、Payload 与检测思路沉淀为自动化渗透平台的规则和插件。
与 SOC 协作开展紫队验证，检验检测规则对真实攻击手法的覆盖度。
输出面向技术团队、管理层及监管审计的中英文报告，支撑 ISMS 及 PAGCOR 合规要求。
跟踪新漏洞与攻击技术，评估对公司技术栈的影响，必要时组织应急排查。
任职要求
5 年以上渗透测试或红队经验，有互联网、金融、支付或游戏行业甲方/乙方实战背景。
精通 Web 与 API 安全，对 OWASP Top 10、API Security Top 10 有超出工具层面的理解，能独立挖掘工具发现不了的漏洞。
具备扎实的业务逻辑漏洞挖掘能力，能举出过往在资金、账户或活动类场景中发现的典型案例。
精通移动 App 安全测试，熟练使用 Frida、Objection、Jadx、IDA 等工具，具备证书锁定绕过、加固与反调试对抗能力。
熟悉内网渗透与权限提升，了解 Active Directory、Linux 主机及容器环境的常见攻击路径。
熟练使用 Python 或 Go 编写利用脚本与自动化工具。
有较强的报告撰写和风险沟通能力，能向非技术人员讲清楚漏洞的业务影响。
中文为工作语言，英文读写熟练。
加分项
持有 OSCP、OSWE、OSEP、CRTO 等实战型认证。
有 CVE、主流 SRC 高排名、知名 CTF 成绩或公开安全研究。
有代码审计能力（Java、Go、PHP、Node.js）。
熟悉零信任/SDP 架构，有相关产品测试经验。
了解反作弊、Bot 对抗或游戏安全。
評論
還沒有評論