问：之前有没有护网经验？
答：没有。
问：之前有没有了解过漏洞或者说有没有接触过漏洞？
答：有过了解，比如说文件上传漏洞。
问：那你可以简单说一下文件上传漏洞吗？
答：文件上传漏洞是指由于程序员在对用户文件上传部分的控制不足或者处理缺陷，而导致的用户可以越过其本身权限向服务器上上传可执行的动态脚本文件。这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。“文件上传”本身没有问题，有问题的是文件上传后，服务器怎么处理、解释文件。如果服务器的处理逻辑做的不够安全，则会导致严重的后果。
问：文件上传防御可以说一下吗？
检查文件上传路径 ( 避免 0x00 截断，00截断只存在php5. 2版本，因为c语言结束符是x0，IIS6解析漏洞自己百度）
Web中间件，apache和nginx都有文件解析漏洞，需要升级到最新版本。文件扩展名检测 ( 避免服务器以非图片的文件格式解析文件 ，最好用白名单检测，同时windows如果用黑名单，必须关注htaccess, 空格，点，：：$data)
文件 类型验证 ( 比如 GIF 图片类型为 image/gif，其他jpg和png也是一样的)
图片二次渲染 ( 最变态的上传漏洞防御方式 , 可以将图片内部内容打乱但不影响图片显示，一定程度避免了图片马利用文件包含漏洞解析，但有脚本可以实现插入的一句话木马不被打乱，所以还需要将上传文件目录可执行权限取消）
文件重命名 ( 如果文件先上传后检测非法文件删除，也许会存在文件竞争漏洞，此时需要将文件名保存为随机字符串，避免暴力竞争）
问：溯源有没有了解，简单说一下
答：可以利用日志文件查看相应ip，找到ip以后可以去微步在线查询下是否恶意服务器，如果服务器上部署网站，可以试图入侵，如果没有，可以在服务器上查看是否有入侵者留下的专用工具，通过逆向代码寻找是否有他联系方式，一般编写者会写自己邮箱，如果找到，可以利用社工库直接定位，或者利用蜜罐技术，试图定位攻击者来源，如果是邮件钓鱼，一般都是自己服务器搭建邮件服务器，可以直接查看攻击者服务器ip
问：怎么确定xss攻击是不是误报
xss攻击有相应的关键字和语句的，比如出现onerror，onload等关键字，然后出现了document. Cookie类似这些关键字，基本可以确定是xss注入，看下日志文件，如果一开始频繁的利用单双引号闭合，或者利用alert进行测试，基本也能确定，而合法的语句没有这些
问：有没有了解过SQL注入，简单来说一下其原理
答：SQL注入(SQL Injection)即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进，步得到相应的数据信息。
问：SQL报错注入的函数有哪些，能不说能说出一两个？
答：extractvalue、updatexml、floor、exp、join、polygon
