web渗透测试工程师

岗位职责 1.负责公司核心Web 系统的安全评估，包括黑盒渗透测试、业务逻辑漏洞挖掘和必要的白盒代码审计。 2.针对登录认证、权限控制、支付交易、订单流程、优惠券、会员体系、数据接口、文件上传、消息通知等关键业务场景，发现越权访问、未授权访问、数据泄露、参数篡改、重放攻击、并发漏洞、风控绕过等安全风险。 3.参与代码审计、安全设计评审和上线前安全测试，协助研发团队制定漏洞修复方案，推动漏洞闭环，提升应用上线安全质量。 4.处理各类安全事件，包括网络攻击、数据泄露等，及时恢复业务正常运行。对公司的应用进行安全评估和漏洞检测，提出有效的风险缓解措施。 研究和跟踪最新的安全威胁和技术趋势，提供相关的预警和防护建议。 5.在公司明确授权的红蓝对抗或安全演练中，参与 Web 打点、攻击路径验证、防护有效性评估和复盘改进，输出风险证据、修复建议和改进方案。 任职要求 1.熟练Web安全、内网安全、授权范围内的渗透测试； 2.精通网站安全加固、CC/DDoS防御、服务器安全和防火墙，以及cloudflare的配置与防护 3.具备扎实的 Web安全基础，熟悉常见漏洞原理，包括但不限于访问控制缺陷、认证绕过、注入、SSRF、反序列化、文件上传、RCE、XSS、CSRF、awvs、goby、敏感信息泄露等。 4.熟悉至少一种主流后端语言及框架，例如PHP/Opencart/WordPress、Python/Django/FastAPI等，能够进行代码审计并定位安全缺陷。 5.熟悉常见的安全攻击手段和防御方法，如网络攻击、Web 应用攻击、恶意软件等。 6.具有较强的逻辑思维能力和问题解决能力，能够快速应对和处理突发安全事件。对安全工作有高度的热情和责任心，能够适应不断变化的安全威胁环境。 7.具备一定自动化能力，能够编写脚本、插件、扫描规则或内部安全工具，提高团队测试效率。 8.具备良好的漏洞报告和沟通能力，能够清晰描述漏洞成因、影响范围、复现步骤、风险等级、修复建议和复测结论。 9.具备Web安全、应用安全、渗透测试或代码审计相关经验，具有复杂业务系统安全测试经验者优先。