腾讯综合笔试题

在腾讯在安全有一个非常大的优势，那就是它拥有一个巨大而复杂的网
络（数万台的服务器，上百G 的流量带宽），各种各样的安全威胁它都遭遇
过，这对于每一个做技术的员工来说，都是一个难得的研究与学习的条件。
不过仅有技术并不能解决问题，要把企业的安全做好，还得有政策以及领导
的支持。对于每年为公司带来数亿实实在在的收入的业务部门来说，安全部
门的“贡献”实在不值一提。也无怪乎我们一直都是支持与服务的角色，做什么
事情都好像在求着他们。
公司的班车还得等到9 点15 才有，索性多写一篇吧----写了一天的代码，
实在有点闷了。在我刚加入腾讯的安全部门时，这个部门的力量还是挺
少的，而事情则是非常的多，所以很多人都忙得不可开交。虽然一个混乱的
环境对员工的长期发展来说是不利的，但是因为事事都是刚开端，我们也就
有机会成为某种技术的开创者或者某种制度的制定者，这对我们的成长却又
是难得的机会。
在一开始，我被安排做web 漏洞的查找，头说我至少要手工测试过1 万
个页面之后，才有可能对漏洞查找有深刻的了解。但实际上不需要这么多的
实践，我就掌握了基本的门路（嗯，实际上这些技巧并不复杂，甚至在彭国
军老师的网络安全实验课上就有，只是我那时也没有太留心:P ），发现了不
少问题。在接二连三地发了N 个漏洞报告之后，头说，看来我们问题还是挺
严重的，你组织一次培训吧，给开发讲讲这个web 安全编程。

我那时是不太情愿的，因为我是个非常害怕在公众前面讲话的人，只要
站在讲台上就会紧张、脸红、说不出话来。但是既然是工作要求，我也就不
得不硬着头皮来了。我花了两个多星期来准备PPT（第一次发现会熟练地用
PowerPoint 实在也是一个非常必要的技能），把网上找到的材料，加上自己
总结的案例，将近有70 页。我把什么都放到PPT 上了，因为我怕自己紧张
全都忘记了。
培训的报名工作是team leader 组织的。到了培训的那天（我记得是去
年的10 月30 日，那入职刚四个月），他告诉我报名的人有90 多。等到去
了培训教室，我才发现整个教室都坐满了人，还有人站着的。想着里面有同
时进来的同事，也有很多可能是做了很多年的开发，我，一个编写的代码加
起来没超过3 千行的乳臭未干的小孩，却来给他们讲怎样编写安全的程序，
实在是可笑。一开始我非常紧张，说话结结巴巴，身体都是抖的，只是照着
投影念。但不久到了熟悉的内容之后，我慢慢地忘记了紧张，稍为自在点了。
那次没想到一下子讲了2 个半小时，出来后快虚脱了。后来听到一个同事说，
讲得还不错，收获很大；那场面太壮观了，她来公司后还没有见过那么大规
模人数的培训。我想自己的技术实在是比较肤浅的，但对于不同部门的人来
说，我这点肤浅的知识就是我异于他们的优势了（在分工越来越细的今天，
专业的差别可能就会形成这种“隔行如隔山”的效果）。这时候的培训，并不是
展现个人的高超技术，而更重要的是，普及某种知识和技能而已。
后来这种安全培训成为了一种每月例行的工作。虽然每个月都讲相同的
内容想起来就觉得是一件很乏味的事情，但每次的听众都不同，而你也可以

在讲的过程中不断地进步，比如说，深化内容，讲得更有趣更生动。照组内
另一位同事所说，要达到这样的一种境界：一份只有寥寥数字的提纲的PPT，
能讲到可长即长，可短即短，随手拈来，那才是水平。
参考：
在第一篇文章里，芒果说到应用安全的两大块内容：客户端的安全和Web www.qz26.com
服务的安全。就技术方面，从本质上来说，我们当下所做的事情，其实是一
种特殊形式的软件测试而已。也许大家还记得软件工程书上说的什么白盒啊
黑盒啊，什么测试用例啊，这些概念也能在安全测试中用到。相对于一般的

上一页  [1] [2] [3] [4] [5] [6] [7] [8] [9] [10] [11] [12] [13] [14]  下一页