奇安信秋招软件开发笔试全解析：安全基础与算法实战

2020年秋天我投了奇安信的软件开发岗笔试一共做了三套卷子第三套给我留下的印象最深。原因很简单前两套卷子大体还在常规互联网公司笔试的射程范围内到了第三套安全底色的比例明显加码网络协议和密码学的题目占比明显高于其他厂商甚至有几道题直接给出一段带漏洞的代码让你判断问题出在哪、怎么修。当时我心里只有一个想法幸好复习阶段多看了安全基础不然这套卷子是真的会让人挫败。如果你正准备投奇安信或者其他安全厂商的软件开发岗我的建议是别把复习思路完全套用在大厂算法题库上。安全公司的软件开发和普通业务软件开发对知识结构的要求是有明显差异的。这篇文章我就以2020届秋招的这套卷子为线索把题型分布、典型题目、编程题模式以及备战方法一条条拆开讲尽量讲得实在一点让你在考前心里有底。1. 2020届奇安信秋招岗位定位与笔试基本盘1.1 软件开发在安全公司里到底做什么先搞清楚一件事安全公司的软件开发岗和电商、社交、出行这类互联网公司的软件开发岗做的事情不一样。互联网公司的开发核心是业务逻辑比如商品下单、feed流推荐、打车派单技术难点通常在高并发、高可用、大数据量以及复杂的业务状态管理。安全公司的开发不一样你写的代码最终要落到安全产品上可能是终端安全软件里的一个扫描引擎可能是Web漏洞扫描器里的一个检测插件也可能是态势感知平台里的一个数据处理模块。这些产品有一个共同特点它们要跟攻击者对抗。攻击者会想尽办法绕过检测、利用漏洞、对抗沙箱所以你的代码不仅要跑得稳、性能好还要对攻击手法的原理有足够的认知才能在代码层面提前做防护。这就是安全厂商笔试的特殊之处。它不只要考你会不会写代码还要看你了不了解在安全场景下写代码应该注意什么。奇安信作为以安全为核心业务的厂商笔试里掺入大量安全基础题完全是意料之中。1.2 笔试的整体节奏与题型分布我做完试卷3之后大概整理了一下题型分布虽然细节不可能记得一字不差但结构是清晰的第一部分是选择题大概有20道左右内容覆盖计算机网络、操作系统、数据结构与算法、数据库以及少量安全基础题。第二部分是简答题大概4-5道主要集中在网络协议和Web安全方向上比如HTTP/HTTPS的差异、SQL注入的原理与修复方式。第三部分是编程题2道左右一道偏字符串处理一道偏二叉树或者DFS/BFS整体难度在LeetCode中等偏下不追求特别冷门的算法但要求代码写得干净、正确。部分批次还会加一轮性格测试或职业倾向测试不计入技术分但会影响后续面试的参考评价。从分值权重上看选择题和编程题占大头简答题属于拉开差距的部分。选择题量大、时间紧每道题留给你的思考时间大概只有一到两分钟所以基础概念的熟练度非常重要。编程题虽然是压轴但题目本身不算特别难关键是你能不能快速理清思路并写出无bug的代码。1.3 与互联网大厂笔试的差异化观察我当年也刷了不少大厂的真题对比下来奇安信这套卷子有几个明显的差异点。第一个差异是算法题难度。大厂笔试经常出LeetCode Hard或者把Medium题目包装成很长的场景描述读题就要花五分钟。奇安信这套卷子的编程题更偏实用题目描述短解法直接考察的是基本功而不是偏题怪题。你不需要背特别多的套路但基础的数据结构和常见算法要掌握得扎实。第二个差异是计算机网络占比特别高。互联网公司笔试也考网络但通常就是TCP三次握手、HTTP状态码这种高频考点。奇安信这套卷子考得更深比如TCP状态迁移、TIME_WAIT存在的原因、HTTPS握手流程、TCP和UDP在不同安全场景下的应用。这跟安全产品要处理大量网络流量有直接关系流量分析、入侵检测、防火墙规则引擎全都要建立在对网络协议深入理解的基础上。第三个差异是安全基础题是明着考的。普通公司笔试偶尔出一道xx漏洞是什么属于锦上添花奇安信会直接要求你分析代码漏洞并给出修复方案属于必考能力。2. 基础题里暗藏的失分点网络、操作系统与数据结构2.1 网络协议题从背概念到懂原理这套卷子的网络题光背八股文是不够的。举几个我印象比较深的考察方向TCP三次握手与四次挥手。这个属于必考但考法有深有浅。浅的题目问你三次握手的过程是什么深的题目会问为什么TIME_WAIT状态要等待2MSL或者服务端大量出现TIME_WAIT会对系统造成什么影响。我在做题时习惯从原理角度去推导2MSL是为了保证最后一次ACK报文能到达对端同时让本连接产生的所有报文在网络中消失避免干扰新连接。理解了这一点不管题目怎么变换问法都能应对。HTTP与HTTPS的差异。这里有一个容易失分的细节HTTPS不是一种新协议它是HTTP加上TLS/SSL层。很多同学回答HTTPS是加密的HTTP就结束了但追问到TLS握手过程中如何协商对称密钥、证书的作用、客户端如何验证服务端身份就答不上来了。TCP与UDP的选择。安全产品里流量采集、日志传输经常涉及这两种协议。题目可能给你一个场景要求低延迟、允许少量丢包让你选协议并说明理由。这种题没有唯一标准答案关键是你能不能把协议特性跟场景需求对应起来。我当时复习网络这块用的方法是画状态图把TCP的状态迁移自己推一遍而不是死记硬背状态列表。推完之后很多看似独立的概念就串起来了。2.2 操作系统题进程、线程与内存的经典陷阱操作系统在试卷里占比不低重点集中在进程线程、内存管理和死锁这几块。进程与线程的区别属于送分题但考察方式可能变成进程之间有哪些通信方式或者多线程程序里哪些资源是共享的、哪些是私有的。管道、消息队列、共享内存、信号量这些概念都要能说清楚适用场景。我在复习时吃过一个亏光记住了概念没想过什么时候用共享内存而不是消息队列结果遇到场景题就卡住了。内存管理也是高频考点包括虚拟内存、分页、缺页中断、页面置换算法。LRU几乎是必考的有时候直接让你手写LRU的伪代码有时候拿它跟FIFO对比问谁的性能更好。答案不是绝对的LRU在大部分场景下表现更好但实现成本高FIFO实现简单在某些特殊访问模式下反而更好。回答这类题目时不要只给结论要说明适用场景。死锁这块四个必要条件互斥、占有且等待、不可剥夺、循环等待要背熟但更重要的是能判断一个实际场景是否会产生死锁。比如两个线程各自持有一把锁然后互相申请对方的锁当你能画出这个循环等待的关系图时问题就一目了然了。另外还有一个容易被忽略的点僵尸进程和孤儿进程的区别。子进程先退出父进程没有调用wait/waitpid回收子进程的进程描述符仍然保留这就是僵尸进程。父进程先退出子进程被init进程收养这是孤儿进程。题目常常把这两个概念混在一起考我记得试卷里好像就有一道选择题专门考这个选项写得特别有迷惑性。2.3 数据结构选判错一题可能就告别下一轮数据结构的选择题难度不算高但覆盖面非常广。二叉树的前中后序遍历、哈希冲突的解决方案、排序算法的稳定性、堆的插入和删除操作这些都是基本盘。排序算法这块有个经典陷阱快速排序是不稳定的排序算法归并排序是稳定的。题目不会直接问快排稳定吗而是给你一组数据问你经过某种排序后相同元素的相对次序是否改变。如果你只是记了结论没有理解稳定性的定义很容易在这类题上翻车。哈希表这块要注意装填因子和冲突处理策略的关系。链地址法和开放定址法的优缺点要能对比。链地址法实现简单删除方便但需要额外的指针空间开放定址法省空间但冲突聚集后性能下降明显。这些概念放到安全产品里也有实际应用比如入侵检测里的特征匹配就经常用到哈希表来加速查找。二叉树遍历的选择题有时候会伪装成根据前序和中序推导后序这类题考的是递归思想没有捷径多练几道自然就熟了。3. 安全特色题Web漏洞与密码学安全公司的必考题3.1 Web安全基础站在防御者视角理解攻击这套试卷的简答题里Web安全占了不小的比例而且题目出得很实际给你一段代码让你分析存在什么安全问题并给出修复方案。以Java的JDBC查询为例一段典型的拼接字符串写法是String sql SELECT * FROM users WHERE username username AND password password ; Statement stmt conn.createStatement(); ResultSet rs stmt.executeQuery(sql);问题一眼就能看出来存在SQL注入风险。username或password里如果传入 OR 11这样的内容SQL语句的语义就会被改变导致认证被绕过。修复方案也很直接使用PreparedStatement参数化查询永远不要通过字符串拼接的方式构造SQL语句。String sql SELECT * FROM users WHERE username ? AND password ?; PreparedStatement pstmt conn.prepareStatement(sql); pstmt.setString(1, username); pstmt.setString(2, password); ResultSet rs pstmt.executeQuery();这种题目表面考的是代码审计能力实际考的是你有没有攻击者思维——看到输入点要本能地想到数据可能被恶意构造。除了SQL注入XSS跨站脚本也是常客。document.getElementById(comment).innerHTML userInput;如果userInput是用户提交的评论内容直接通过innerHTML插入攻击者可以构造一段包含script标签的内容在其它用户浏览器上执行。修复方式是对用户输入做HTML实体编码或者使用textContent代替innerHTML。我在笔试前专门做过一轮安全基础复习把OWASP Top 10里的常见漏洞类型过了一遍SQL注入、XSS、CSRF、SSRF、文件上传漏洞、路径遍历、反序列化漏洞。每个漏洞都要能做到三件事说清楚原理、能写一个最简单的攻击示例、能给出修复方案。这样不管题目以代码审计还是场景分析的形式出现都不会慌。3.2 密码学常识题不考实现考选型和用途密码学部分试卷的考察重点不是让你手写AES或者RSA的实现而是考察你对密码算法特性和应用场景的理解。我当时遇到的考点大概有这些对称加密与非对称加密的区别。AES、DES属于对称加密加密解密用同一个密钥速度快适合大量数据的加密RSA、ECC属于非对称加密公钥加密、私钥解密速度慢适合少量关键数据的加密和密钥协商。HTTPS的TLS握手协议就是把两者结合起来用非对称加密协商出一个临时对称密钥后续通信用对称加密兼顾安全性和性能。哈希算法的作用。MD5、SHA-1、SHA-256这类哈希算法是单向的不可逆常用于校验数据完整性、存储密码摘要。这里有个陷阱MD5已经被证明存在碰撞不再适合用于安全敏感场景但很多人还在用。题目可能会问存储用户密码应该使用什么算法答案是加盐的哈希算法比如bcrypt、PBKDF2而不是直接哈希。数字签名。它的作用是保证消息的完整性和来源的真实性。签名者用私钥对消息摘要进行加密验证者用公钥解密并比对摘要。注意区分加密和签名的密钥使用方向加密是公钥加密、私钥解密签名是私钥加密、公钥验证。这两个方向如果混淆了题目就答错了。常见攻击方式。比如中间人攻击、重放攻击以及对应的防御手段证书校验、时间戳随机数。理解这些攻击能帮助你站在更高的视角审视一个通信系统的设计。我当时整理了一张表把算法名称、密钥类型、典型应用、常见风险写在一张纸上考前过一遍答题效率提升很明显。这块知识不需要很深但覆盖面要够。3.3 安全合规与护网概念的扫盲安全公司笔试还会涉及一些安全行业的基础概念名词。比如护网这个词对安全行业外的人可能有点陌生但在安全公司的笔试里它可能会作为背景知识出现。行业内的攻防演习一般会组织红队和蓝队。红队模拟攻击方尝试突破防护体系蓝队是防守方负责监测、阻断、溯源和应急响应。演习的目标是检验和提升政企单位的整体安全防护能力。作为软件开发岗如果你未来参与的是安全产品研发你写的检测引擎、告警规则、流量分析模块都可能被部署到类似的安全防护体系中所以了解红蓝队的基本工作模式是有必要的。此外像等级保护这类合规概念也属于安全行业的基础常识。它是一套对信息系统分等级实施安全保护的制度。笔试一般不考细节但你要知道它的基本思路根据系统的重要程度确定保护等级不同等级要求不同的安全能力。我建议准备安全厂商笔试的同学花半天时间把安全行业的基础概念过一遍不要求成为专家但要能做到看到一个专业名词知道它在整个安全体系里处于什么位置。这样在笔试中遇到陌生概念时至少能根据上下文推出大概意思而不是直接蒙圈。4. 手撕代码编程题的高频模式与实战复盘4.1 平台、语言与输入输出的准备工作奇安信的笔试用的是在线评测系统需要在浏览器里完成编程题。这里有一个非常实际的建议提前确认支持的语言和编译环境。一般会支持C/C、Java、Python、Go等主流语言但我建议选自己最熟练的一门不要想着笔试题目用Python写更短就临时切换语言。在线笔试的环境和自己本地IDE有很大差别没有自动补全没有调试器一旦语法不熟练写出来的代码连编译都过不了心态直接崩。我当年用的是C。笔试前我特意做了几件事默写常用头文件、熟悉STL容器的API、练习处理输入输出的模板。别小看这些琐碎的准备工作考试时时间紧张你的大脑资源应该留给算法逻辑而不是浪费在vector的push_back是这么拼吗这种问题上。4.2 真题级复盘最长不含重复字符的子字符串试卷3的编程题里有一道非常经典给定一个字符串找出其中不含重复字符的最长子串长度。这道题在LeetCode上是第3题属于必须会的范畴。我当时在笔试现场写的解法是滑动窗口思路是用两个指针left和right维护一个窗口窗口内不包含重复字符。right指针不断右移每遇到一个新字符就检查窗口内是否已经出现过。如果出现重复就把left移动到重复字符的下一个位置。用哈希表记录每个字符最近出现的位置可以将查找时间降到O(1)。C参考代码如下#include string #include unordered_map #include algorithm using namespace std; int lengthOfLongestSubstring(string s) { unordered_mapchar, int pos; int left 0, ans 0; for (int right 0; right s.size(); right) { if (pos.count(s[right]) pos[s[right]] left) { left pos[s[right]] 1; } pos[s[right]] right; ans max(ans, right - left 1); } return ans; }时间复杂度O(n)空间复杂度O(n)。这个解法本身不算难但要注意一个细节当发现重复字符时要确保这个重复字符的最近出现位置在窗口内即pos[s[right]] left否则不能更新left。很多人在这个细节上写错导致结果偏大。这种题考察的是双指针哈希表的组合应用属于笔试编程题里最高频的模式之一。类似的还有和为target的最长子数组滑动窗口最大值等建议把滑动窗口这一类模板都练熟。4.3 真题级复盘二叉树层序遍历另一道题是二叉树的层序遍历要求按层返回节点值。这道题更直接就是BFS的标准应用用队列实现。我在笔试时写的代码大概是这样的#include vector #include queue using namespace std; struct TreeNode { int val; TreeNode *left; TreeNode *right; TreeNode(int x) : val(x), left(nullptr), right(nullptr) {} }; vectorvectorint levelOrder(TreeNode* root) { vectorvectorint res; if (!root) return res; queueTreeNode* q; q.push(root); while (!q.empty()) { int sz q.size(); vectorint cur; for (int i 0; i sz; i) { TreeNode* node q.front(); q.pop(); cur.push_back(node-val); if (node-left) q.push(node-left); if (node-right) q.push(node-right); } res.push_back(cur); } return res; }这道题的关键技巧是用q.size()提前记录当前层的节点数然后只处理这一层的节点这样每一轮循环都恰好处理一层。如果不这样做就分不清哪些节点属于哪一层了。二叉树相关的题目还有很多变体前中后序遍历、最大深度、最近公共祖先、二叉搜索树转双向链表等。我的建议是把递归和栈模拟的写法都练一遍因为有些题目用递归写起来很简洁但一旦递归深度过大可能会导致栈溢出面试时可能会追问你能否用迭代实现。4.4 编程题的拿分策略在线笔试的计分规则通常是按照通过用例的比例给分不是非对即错。这意味着哪怕你的解法不是最优解只要能把简单用例跑通也能拿到部分分数。我当时的策略是先把两道题都看一遍快速判断难度。先做简单的确保拿分再啃难的。如果某道题一下子想不出最优解先写一个暴力解法至少保证小数据用例能通过。通过用例后再尝试优化。在线笔试不要求你一定写出最优解但如果你写了暴力解法要确保正确性不要为了优化而把已通过的代码改出bug。如果时间不够在代码注释里写明思路也能加分。有些笔试系统允许提交备注阅卷人可能会看。编程题最怕的不是不会做而是因为输入输出格式没处理好导致运行时错误。C的cin读取直到EOF、读取一行字符串这些基础操作考前一定要练熟。5. 复盘后的备战清单给下一届的优先级建议5.1 知识模块优先级排序把整套卷子复盘完我对安全厂商软件开发笔试到底看重什么有了一个清晰的认知。如果按投入产出比来排序我的建议是这样的优先级知识模块核心考点推荐投入时间高计算机网络TCP/IP、HTTP/HTTPS、TLS握手、TCP状态迁移5-7天高数据结构与算法数组、链表、哈希、二叉树、DFS/BFS、滑动窗口2-3周高编程语言基础内存管理、STL/集合框架、字符串处理复习为主中操作系统进程线程、内存管理、死锁、IPC3-5天中数据库SQL语法、索引原理、事务ACID2-3天中Web安全基础SQL注入、XSS、CSRF、文件上传、代码审计3-4天低密码学应用对称/非对称加密、哈希、数字签名1-2天低安全合规概念攻防演习、等级保护、态势感知半天这个排序是基于笔试分值占比做的。算法和网络是硬骨头必须花大时间安全基础是差异化项决定了你能否跟其他候选人拉开差距操作系统和数据库是稳定拿分项不需要深入但也不能放弃。5.2 全周期备战节奏如果离秋招还有半年建议时间线这样安排第1-2个月主攻数据结构和算法每天2-3道LeetCode题重点覆盖数组、链表、栈、队列、哈希、二叉树、DFS/BFS。目标是把常见题型的解题模板练熟。第3个月补充计算机网络和操作系统基础把TCP/IP协议栈、进程线程、内存管理这几个重点章节过一遍配合做题巩固。第4个月学安全基础以OWASP Top 10为主线每个漏洞类型都自己写一遍攻击示例和修复代码。这个阶段可以找一些开源靶场练手比如本地搭建一个Web漏洞测试环境在完全可控的离线环境里做实验既能加深理解又安全合规。第5个月开始做整套的模拟卷和历年真题限定时间模拟笔试环境。第6个月查漏补缺。如果某类题目反复出错就集中补齐同时准备面试中可能问到的项目经历和基础知识。如果离秋招只剩一个月那就不要贪多求全了。抓核心算法高频题、TCP/HTTP、操作系统基础、Web常见漏洞修复方案。四块内容足够应付大部分安全厂商的笔试。5.3 几个容易被忽略的细节最后说几个我踩过的坑或者事后复盘时意识到的细节。笔试环境要提前测试。在线笔试一般会要求用指定的浏览器有时候还需要开摄像头。不要等到考试当天才去装插件、做环境检测提前一天把这些琐事全部搞定。我记得当时在笔试前检查了摄像头、麦克风、网络稳定性甚至还把浏览器弹窗拦截关了避免考试中出幺蛾子。遇到不会的选择题不要空着。奇安信这套卷子我不确定是否倒扣分但大部分校招笔试是不倒扣分的蒙一个答案至少有25%的正确率。空着是稳亏。简答题不要只写结论要把思考过程写出来。阅卷人想看到的不只是这个代码有SQL注入风险而是你能不能说清楚为什么有风险、攻击者怎么利用、修复方案是什么。分点作答逻辑清楚哪怕语言不够精炼也比只写一句话要好得多。编程题即使没完全做出来也要把思路写出来。有些在线笔试平台会保留你编辑过的代码即使没通过全部测试用例阅卷人也能看到你的思考方向。至少注释里写清楚你的想法和没完成的部分好过一个空白编辑器。另一个细节是准备几段自己写的代码或者项目案例作为面试素材。笔试结束后的面试环节面试官可能会针对安全方向问项目如果你有过安全实践相关的项目经历一定要提前准备好技术细节防止被追问时说不出来。如果让我重新准备一次秋招我会把安全基础复习的优先级提到更高的位置。普通大厂笔试是只要会算法就能过安全厂商笔试更像是在考察一个懂安全的工程师是否具备扎实的开发基本功。两者缺一不可。你可以在LeetCode上刷题但千万别只刷题。花点时间把Web漏洞的原理和修复方式学明白把TCP/IP协议栈吃透这些才是你在安全厂商笔试中真正拉开差距的资本。