个人基本信息：本科硕士都是做安全的，主要研究方向是IoT漏洞挖掘和网络安全，有几个项目经历（都是IoT漏洞挖掘），有竞赛经历，有0day。
阿里云——基础事业部安全工程师
进度：过了HR面，等消息中，估计被养鱼了。。。
阿里真的开始的巨早，我还放假在家学长就给我发招聘广告，我当时在外面玩，看到消息整个人都emo了。然后决定在3月前把事情解决，就2.28找我学长内推。学长是阿里云基础事业部的，好像主要是做WAF这方面，觉得方向比较合，所以进度拉的非常快，一面二面定在了一天。这里感受到了找一个靠谱的内推人的重要性，学长真的挺好的，消息进度什么都会通知我，我也会找他打听一些消息，真的十分感谢！
一面（3.4上午）
同学推的面试官wx，wx视频面
因为同有一个本科同学一起被内推，他进度比我快，所以我能得到一些消息。前面同学说一面是简历面，而且是电话面试，主要围绕项目问一些问题。所以我大概花了两天时间整理了一下我的项目经历，主要是很多细节的地方我都记不太清了，然后看了一下Web安全相关的资料。
然后我一面是他三面的面试官，他先面我再面，然后面试官微信都是我同学转给我的，直接微信视频面试。
进去之后，有两个面试官，一个中年男士，用的风景图（A）开了视频，一个用的卡通头像没开视频，感觉应该是个年轻人（B）。我晕，我真的不太能和老师一样年纪的人讲话，刻在DNA里面的紧张，从这里开始我就拉垮了。
面试官A让我从高中开始介绍自己，说一下自己的三个优势，兴趣爱好。
然后我很懵，从高中开始讲了一下，就读高中考大学读研。非常平平无奇还有些尴尬的自我介绍，然后因为太紧张，我只回答了第一个问题。
然后自我介绍的时候可能提了一下我的性格，面试官A就问我，周围的人觉得我是什么样的人，我又双叒叕傻了，就呃呃啊啊，回答：“一般大家不会问旁边的人你觉得我怎么样吧”，我真的吐了，至今回想起来都尴尬的脚趾扣底。
然后问有没有读博的打算？ 无
问我偏哪个方向，Web吗？ 我真的很怕说我精通，我怕被怼的体无完肤，开始阿巴阿巴，垮了。
问我擅长那一类攻击，sql注入？ 我说了一下命令注入，因为有过真实环境命令注入的经历。
看简历，对app有测试过？（他这里指的是逆向） 我答的主要还是偏Web，抓包、业务逻辑之类的。
写过脚本吗？python有没有代码超过一万行。 哦豁，g了，必然没有。
问我今后规划，准备做什么，Web吗，去哪个城市有想法吗？ 好家伙，致命一击，我至今都没想清楚我要干嘛，然后又垮了。然后说上广深杭成都都可以，北京算了，太大了太北了，南方人不想去那么北的地方，回答完想起加wx的时候这个人资料里面填的是北京。内心一凉。
不过对方还是说，实习去北京没关系吧。我说，嗯嗯，那没关系。
反正场面就是非常的尴尬，没什么可聊的，我内心绝望，人家都面半个小时，我十几分钟讲些有的没的，offer886。然后，终于，A问B对我有没有什么要问的。
B主要是对我的博客提问，真的感天动地，认真写了一些博客，好歹有东西可以问。
问我分析了Calbalt Strike 说一下怎么分析的。
我：内心就是非常无语。我至今回想起来都尴尬到窒息，这个是一年前做的，我记忆超级差。真的不太记得了，然后就双方沉默了一分钟，对面试图提醒我，然后基本上是B一个人说完了CS 注入payload的过程。
然后问邮件安全，我内心一喜，结果对方说SPF是双向的一个协议，我当场懵逼，没太理解他的意思，双方扯了一下。
然后看到我用XSS的自动fuzz工具，问我对XSS有了解的话，跨域传输数据了解吗。
这里说了一下XSS，同源策略和内容安全策略，因为没有复习的很好，跨域数据传输只记得Jsonp这种方法，说了一下用<img>传，其实还有跨域资源共享（CORS）。
跨域传输这个问题真的面试很经典的问题了属于是。
反正一面的感觉非常不好，面完很自闭，很难受，但是还是通知下午继续二面。
二面（3.4下午）
电话面，发的邮件通知
因为一面太拉了，我痛定思痛，复盘了一下，主要是太畏畏缩缩了，讲话很不大方，而且很被动，没有掌握主动权，所以就重新想了份自我介绍，希望能把面试官往我简历上面引导。
然后二面是电话面，挺顺利的，比较多的都是聊简历上面的东西，然后感觉我自己的状态也比较好，一直逼叨逼叨个不停。
然后问我知不知道SSRF，我当时手机信号可能不太好，而且这种字母真的很难听清，问了两遍才听清是SSRF。
我其实复习的时候看到了，但是不太记得具体的内容，我就说我只了解过，服务器请求伪造嘛，但是没有挖过这个漏洞。（就是要那种，哦，这个呀，那种不屑的语气）
然后问我逻辑漏洞。 这个讲了一点项目上的东西。
然后问我邮件安全比赛的事情。 这个我也能扯。
然后问我源码审计，一般审计什么语言？ 我也扯了一下，我知道可能会审计PHP更好，但是我不太会，所以这个没很深入。
对于路由器这种东西，卖出去了就不好维护，有什么产品建议吗？ 我靠，我写这么多文档，不就派上用场了，疯狂扯。
问语言，看你都用的python，你对python多线程有了解吗？ 我说啊，我知道一点，之前写爬虫的时候了解过（我只知道Thread库，但是没实现过，就往爬虫扯）。
对方就问你做过爬虫啊，反爬技术了解吗？ 这可是我本科毕设好吗，开扯。
问我有什么问题吗？ 礼貌性问他们具体干嘛的。因为之前一面的人并没有给我介绍，所以我真不知道。
总的来说二面我觉得就是我预期中的一面，整体节奏和方向都是我想要的，氛围也比较轻松，电话面试没那么紧张，我自己还是挺满意的吧。
然后学长就说那个一面大老板想再面我一下，结果没等到技术三面，直接HR面了。
HR面（3.10）
用的阿里会议视频面
因为我在牛客网上看了很多阿里的HR面经，对问题都有大概的答案，HR面也比较常规，没什么好说的。
自我介绍
人生高光时刻
三个关键字概括 自己的性格
怎么评价阿里云，包括阿里人
对之前哪个面试官印象最深 必然是A，这里其实有点像回答受到过的打击的套路，因为我说我面的很差，但是心态没崩，更好的准备下午的面试（下一次HR面的素材不就来了吗）
受到过最大的打击 就不能过一帆风顺的人生，当温室里的花朵吗
同事之间指出你的问题你怎么看
自己的缺点
未来的职业规划 这一次我学乖了，我说我要做安全！
综合素质测评
在HR的提醒下做了综合素质测评，就很烦，四道大题，阅读理解、数学题、找规律题和性格测试。
学长说不能做的太拉，会卡人，我觉得很难，我本科找工作投阿里，直接这一关就没过，当时也没找内推啥的，too young too naive 。
感受
感觉阿里的这个面试流程什么的每个人情况都不太一样，我同学还有被面试官鸽的。流程其实可以更科学一点，有的通知的很随意，官网进度什么的也很模糊，就显示个面试中，幸亏我学长比较靠谱，我还能问一问。然后2.28投完简历，马上安排下周面试，一周内面完，进度非常快，但是后续就没消息了。学长说HC还没出来，让我继续等。
后续投了美团，网易游戏，京东，美团最先给了笔试链接。
美团——安全工程师
笔试（3.19）
我最讨厌笔试，美团笔试是两个小时五道编程题，然后每周固定的时间开两个小时，前四道应该大家都一样，最后一道可能随机，然后开发算法安全都是一样的。
用的网站叫acmcoder，要自己处理输入输出。
笔试做的稀烂，做完了也是好好反思，复盘，自我和解。
但是我心里还是对一件事情比较清楚的，缺人的时候，笔试只是个流程，但是不缺人的时候笔试确实卡人。这个发言仅代表我个人，懂的人可以悄悄告诉我一下里面的门道。
一面（3.21）
做完笔试第二天就邮件通知面试，这速度，我都惊呆了，我还没从笔试的emo中走出来。然后开始疯狂看面经，我看的Web渗透相关的面经（吸取前一次阿里的教训，准备咬死说我爱Web）。
视频面试，邮件通知选时间，选时间之后发面试官的电话，短信和邮件都会发，整个就显得很专业。
然后也有一个同实验室的同学，已经拿到美团的offer了，他一面视频面直接手撕代码。然后我内心猜测是不是笔试做的烂也是一种策略，直接不会让我手撕代码，直接电话面，还是单纯拿我刷KPI。然后顺便在面试之前知道了什么叫“开水团”。
面试官居然还挺守时，55就给我打电话，他先做了自我介绍。说是看了项目经历觉得非常契合捞了起来，大部门是美团基础事业信息部（不太记得了），是个做IoT的组，我的内心拔凉拔凉的，我把SSRF和CORS看的包浆了。
前面还是项目比较贴合的，先大致问了一下我拿到一个路由器怎么分析。然后聊了一下对于命令注入这些怎么防御（因为我提到了命令注入），前面都还很正常，掌控范围之内。
1、你做iot的，知道Flash有哪些吗？
我只知道spi。其实是 NAND Flash ，NOR Flash，EEPROM。
2、拆过设备吗？
3、做过哪些固件相关的东西？
4、拿到固件怎么分析的？ 追问有没有逆向过二进制文件
5、做过其他操作系统的东西吗？RTOS？
6、Linux 内核了解吗？分析过Linux内核吗？
7、然后说你对bios到操作系统这个启动过程是不是很熟悉？
8、虚拟化了解吗？
9、docker 怎么实现隔离的知道吗（网络、文件之类的）？了解过逃逸吗？
10、蓝牙协议了解吗？
问完项目相关的开始问技术，哈哈哈哈，其实个人觉得有点八股文，不过他说他不问八股文。
11、TCP、UCP区别？答了之后问我沾包，我说什么帧包吗？你说详细点说不定我懂。然后对面说你应该不知道，不然一听就知道是啥。
这个我真的只知道粘豆包。
12、那TCP是面向流的，编程的时候你怎么确定来的几个信息哪个是第一个哪个是第二个？
13、密码学了解吗？说说对称加密 非对称加密 然后问组密码 流密码
14、好，那你应该知道TLS吧，DH解决了什么问题知道吗？
15、操作系统是缓解二进制缓冲区溢出？
问完这些不知道问什么，居然打开题库，我当时真的要笑死了。
16、线程和进程？（非常经典的八股文，面试必备）
17、那你知道进程之间通信方法吗？
19、写过多线程吗？
20、那你了解C吗？
21、问我之后的方向。
22、中途问过用什么语言，问go、ruby用没用过。
23、那种东西适合fuzz？接触过二进制fuzz吗？
问的东西挺多的，后面技术相关的我基本上只是停在书本上，了解的不是很深，只听在知道上面，如果答上来了对方就往深了问，不过他说不知道也没关系，还会给我讲解。人真的挺好的。整体氛围很轻松，我觉得他那个部门应该氛围很好，然后感觉是比较平等的对话关系。是这几次面试里面最喜欢的一个面试官了。
反问环节
也是问具体干嘛的，好像是单车、电动车还有智能头盔这一块的研究。
我说我笔试很拉怎么办，对方还真的说了，安全部门没有那么在意笔试成绩，开发会更看重一点。
面试这种东西看运气，因为面试官决定太多因素了，不过自己能力强，简历好看，又比较能侃，感觉没太大问题。
感受
第一个面试官给我留下的印象很好，对整个部门的好感也比较高。然后整个面试流程感觉比某里专业很多。
京东——安全工程师
笔试（3.19 晚上）
也是固定时间，一个小时，20道选择题，60分，一道编程题，40分。
我觉得比美团更科学，但是选择题很多都是数据安全相关的。
编程题很简单，别骂了别骂了。
总结
千准备万准备，还是要提高自己的技术。以及要不停的复盘，查（女）漏（娲）补（补）缺（天）。
大部分投了之后，如果内推的人对部门了解不多的话，可能都不知道那个部门是干嘛的。
我觉得如果有项目的话，真的太有优势了，如果没项目博客写好点，有的也会问。
但是了解八股文常见的问题我觉得比较保险，对自己项目做一个梳理，这样答的时候比较有条理。
然后还有就是心态的调整，太认真你就输了。大不了读博续三年或者回家考公，出路总是有的。