1. 常见中间件漏洞
2. webshell流量特征
3. Windows和Linux的应急响应
4. 应急响应基本流程
5. Linux的应急响应命令
6. 怎么看Linux的自动启动任务
7. Linux怎么查看程序调用了哪些文件
8. 如果你有流量包怎么看
9. OWASP top10
10. 文件上传和SQL注入原理
11. 时间注入的常用函数
12. SQL Server提权方法
13. 怎么判断攻击是否真实，是否攻击成功
14. 如果你有流量包怎么看
15. 上次护网有没有什么真实告警
16. 如果一个木马启动并自删除了，注入其他进程中，如何获取样本，并提交给WB工程师分析？
17. 溯源以及溯源反制
18. SSRF用哪些协议、函数，怎么绕过，修复
19. xss可以使用哪些标签
20. XXE中PCDATA和CDATA有什么区别
21. struts2有哪些漏洞，有什么特征
22. CS攻击流量特征
23. jboss反序列化漏洞特征，判断是否攻击成功
24. log4j有什么特征，怎么判断是否攻击成功
25. 反序列化
26. 了解过哪些安全设备？
27. 设备误报如何处理？
28. 如何区分扫描流量和手工流量？
29. 网站被上传webshell如何处理？
30. 常见OA系统？
31. SQL注入怎么写入webshell？
32. 常见的框架漏洞？
33. 上次参加的省护网行动中，协防单位和主防单位分别是哪个厂商的？
34. 网络基线加固思路
35. 打点一般会用什么漏洞？
36. 内网告警应该如何处理，流程是怎么样的？
37. mysql 写 shell，如果不知道网站绝对路径，怎么办？

天眼设备

34. 在天眼设备中，各个字段的含义？
35. 天眼分析平台中DNS协议中的dns type字段含义是什么？
36. dns_type中addr代表什么？
37. 天眼可以捕捉到cmd命令嘛？
38. 天眼告警可以显示的结果，除了成功和失败还有什么嘛？
39. 内网横向有哪些告警类型？
40. 使用天眼，如何判断资产是否失陷？
41. 出现受害ip为源的时候是什么情况?
42. 在天眼分析中，威胁告警检索字段中 attack sip 字段表示的含义是什么?
43. 在天眼分析平台中,proto字段表示的含义是? 举两个邮件应用协议的例子
44. 在天眼分析平台中，IOC代表什么含义、反映了什么？
45. 天眼中如何搜索一个日志里指定的端口？怎样把两个端口连接在一起查询？
46. 一个告警的目的ip是114.114.114，端口是53，这样的告警，我应该对他的ip和端口进行封禁吗?
47. 在天眼分析平台中，如何搜索源IP为A，目的IP为B的网络日志?运算符(AND)是大写还是小写?
48. 在天眼分析平台中，运算符都有哪些？
49. 天眼分析平台中，发件人的字段是什么？
50. 天眼分析平台模糊搜索，应该怎么写查询语句?
51. GEO字段代表什么？
52. 不出网的主机通过哪种代理方式建立连接？
53. 天眼里的小工具用过吗？
54. 天眼告警主机外联的排查思路？
55. 天眼中成功利用的告警如何处理？
56. 告警成功怎么处理？