OWASP Top 10 深入理解SQL注入、XSS、CSRF、SSRF、文件上传、反序列化等漏洞原理 熟练
身份认证安全 Session管理、JWT攻击、OAuth2.0配置缺陷、多因素认证绕过 掌握
访问控制测试 越权测试（IDOR）、水平/垂直越权、权限提升路径分析 熟练
信息泄露挖掘 源码泄露、备份文件、接口返回敏感信息、错误信息泄露 熟练
业务逻辑漏洞 支付绕过、积分篡改、并发竞态条件、验证码重用 了解
代理抓包 Burp Suite（必会：Repeater、Intruder、Scanner、Decoder） 精通
信息收集 Nmap、Masscan、Shodan、FOFA、子域名挖掘机、OneForAll 熟练
漏洞扫描 AWVS、Xray、Goby、Nessus 掌握
目录扫描 Dirsearch、ffuf、GoBuster 熟练
渗透框架 Metasploit、Empire、Cobalt Strike（了解） 掌握基础
密码破解 Hydra、John the Ripper、Hashcat 了解
代码审计 Seay源代码审计、Fortify、CodeQL（加分项） 了解


1.参与集团旗下Web站点及移动业务安全测试工作。
负责目标系统的信息收集、攻击面分析及漏洞验证。
2.开展常见Web漏洞检测，包括身份认证、访问控制、信息泄露等方向。
3.使用Burp Suite、Nmap等工具进行安全测试与风险评估。
4.输出漏洞分析报告及修复建议，协助业务方完成安全整改。

1.发现并提交多个高价值安全风险问题，获得平台认可。
2.协助业务团队提升系统安全防护能力，降低潜在安全风险。
3.累计输出多份漏洞分析及整改建议报告。