这篇文章我想了很久该以什么角度切入。在移动安全这个圈子里每年秋招春招的笔试题都是很好的行业风向标网易这套2018年的移动安全工程师笔试卷虽然年份早了一些但它的知识点广度和考察思路到今天依然很有参考价值。尤其是经历过移动安全从会不会反编译APK到能不能深入汇编层做对抗的演进回头看这套卷子能很清晰地看到一套考察模型的骨架不考死记硬背考的是你有没有真的动手逆过东西。这篇文章我不做逐题答案而是把这套卷子所代表的能力模型拆开配合真实的操作链路、踩坑经历和备考思路帮准备入行或正在准备校招的朋友把知识体系梳理清楚。1. 一份笔试卷的真实考点地图网易在找什么样的人先说结论2018年网易移动安全校招笔试的核心考察面大致集中在四个方向Android平台逆向与漏洞分析、iOS平台基础逆向思路、密码学与网络协议基础、安全开发与防护对抗常识。这和当时网易的业务形态有直接关系——游戏、邮箱、音乐、电商这些产品线都有真实且急迫的移动安全需求。游戏要防外挂和破解邮箱要防账号盗取电商要防支付链路被篡改这就决定了网易的安全岗不是招研究型CTF选手而是招能上手分析问题、能写代码落地防护的工程师。从题型分布来看这套卷子有几个很典型的特点客观题约占三到四成集中在Java/OC基础、Android组件安全、常见加密算法特性、TCP/HTTPS协议细节主观分析题占大头基本会给出一个小场景或一段伪代码让你判断漏洞成因或者要求写出逆向分析思路部分题目会直接考代码阅读能力比如给一段smali代码让你还原逻辑或者给一个JNI函数的反汇编片段让你判断算法类型。这类题型背后有一套非常清晰的能力模型。网易这类大厂在校招时最看重的是三件事第一你有没有完整的移动端调试链路认知也就是从拿到一个APK到定位核心逻辑你能不能独立走完第二你对加固、混淆、反调试这些对抗手段是否了解原理而不只是知道有这个东西第三你的代码功底能不能支撑你写POC、写hook脚本或者给后续做防护的同事提供可落地的分析结论。所以备考这套试卷的心态调整很重要。如果只刷CTF的逆向题去准备网易这套卷子会有些用力过猛但不对位。CTF逆向讲究在有限时间内破解特定算法但网易校招卷更看重分析过程的完整性和思路清晰度。比如给你一个函数名和几行反汇编它可能不要求你完整还原算法而是问你这段代码的对抗手段是什么、怎么绕过。这种考察方式更贴近真实工作的日常不是所有问题都要破解到极致而是能快速判断问题边界、给出可行方案。我自己在做这类评估时通常建议候选人先从这三个维度做自测是否能在不联网的情况下用静态分析还原一个APK的主要功能模块是否理解Android的四大组件启动流程和安全边界是否看过至少一个Native层函数的反汇编代码能辨别简单指令的含义。这三个自测点基本覆盖了卷子里主观题的主要来源。哪怕年份变了、题型变了这个底子打牢了无论笔试还是面试都能稳得住。2. Android逆向题的完整解题路径从APK解包到Native层定位这套试卷里最核心的主观题基本都会围绕一个场景展开给定一个APK或一个so文件分析其中某个函数的功能或破解某个校验逻辑。这类题的分值占比最高也是最容易拉开差距的地方。我建议按下面的标准链路去练习每一步都有对应的工具和可验证的方法考场上按这个思路推进不会乱。2.1 静态分析jadx和apktool的配合使用拿到APK第一步一定是静态分析。常用的工具组合是jadx和apktool。jadx负责把dex还原成接近可读的Java代码效率高适合快速梳理业务逻辑apktool负责解包资源文件和smali代码在需要回编译或分析资源混淆时更精确。实际分析时建议先用jadx打开APK看AndroidManifest里的组件注册情况、权限申请情况再看Application类和MainActivity的入口逻辑。这里有一个非常实用的细节2018年前后大部分Android App已经开始做字符串加密和反调试所以你直接搜password、check这类关键词往往搜不到什么。更可靠的方式是搜索入口函数、按钮事件绑定的监听器或者从JNI调用的native方法入口开始追。比如看到一个类是com.netease.security.checker里面有一个native isValidate()方法基本可以判断这是核心校验逻辑的入口下一步就需要转到Native层了。静态分析阶段的常见误区是强求全部看懂。一份校招笔试卷的APK不会特别庞大但即便如此完整通读也没有必要。效率最高的方式是先跑一遍App、触发核心功能再根据功能点反推代码位置。这种思路有点像先看API文档再去看底层实现比从源码硬啃快得多。2.2 Native层定位IDA Pro与unidbg模拟执行Java层分析到瓶颈后就要转入Native层。这里的主流工具是IDA Pro配合Frida做动态验证。对于笔试场景大多数情况下你会拿到一个简单的so文件里面可能包含一个校验函数。关键步骤是先通过导出表或JNI静态注册找到对应的函数地址然后在IDA里看反汇编代码识别算法特征。如果你复现了那道经典的用户输入密码App判断是否正确的题目逻辑一般是这样的Java层将输入传入native方法Native层拿到字符串后做若干轮变换然后与某个硬编码的静态值比较。变换过程常见的有Base64变种、逐字节异或、RC4、AES等。在IDA的伪代码视图里看到0x33 ^ v5这样的表达式基本就是异或加密看到固定长度的S盒扩展就是RC4。这里我想强调一个笔试中使用频率很高但很多人不熟练的技巧unidbg模拟执行。unidbg是一个JVM上的轻量级模拟框架可以在不启动模拟器、不依赖Android系统的情况下直接调用so文件里的native函数。它的价值在于你不会被调试环境问题卡住也不怕App做反调试甚至不需要真机。很多笔试题里的so函数传入参数只有字符串或整型用unidbg写几十行Java代码就能直接调用并获得返回值比自己硬啃汇编效率高一截。使用unidbg的基本步骤是创建模拟器实例指定SDK版本一般选API 19或23用DalvikVMCompat创建虚拟机加载目标so注册Java层native方法的符号映射调用目标函数并设置好参数获取返回结果或打印日志对比输入输出验证猜想。这套操作熟练后笔试里的so分析题几乎都能用静态分析定算法 动态模拟验证的组合拿下。2.3 动态调试与HookFrida的熟练度是拉开差距的关键笔试主观题虽然以静态分析为主但凡是涉及绕过校验的题目动态Hook能力几乎是必须的。Frida作为目前最主流的动态插桩工具熟练使用它的人和不熟练的人做同一道题的效率能差出3倍以上。我对准备校招的同学的建议是至少要做到会写简单的JavaScript脚本Hook Java方法、修改参数和返回值能用Frida的Java.perform定位到类和方法打印调用栈会Hookso中的导出函数Module.findExportByNameInterceptor.attach知道frida-trace这个工具能自动追踪哪些常见API比如SSL相关的SSL_read/SSL_write。在考试场景中Frida主要用来验证静态分析的结论。比如静态分析判断某函数encryptSeed返回值为1才通过那我用Frida把该函数返回值直接改为1如果App进入下一步就说明判断点定位正确。这一招在破解登录校验、本地支付校验时非常实用。如果你现在才开始接触动态Hook我的建议是不要去背API而是把Frida官网的examples完整过一遍自己搭一个小Demo自己写一个C语言的so函数然后尝试用Frida去hook它。这个过程走通了你对动态插桩的理解会有一个质的飞跃。3. 保护与绕过加壳、混淆、反调试的对抗逻辑网易这套卷子的另一个出题密集区是防护对抗。移动安全不只是破解也包括防护方的思维。卷子里通常会给一段代码或一个场景问你这个方案存在什么弱点、怎么突破。这部分题目算是最有意思的因为它的考察点不是单一技术而是你对攻防双方思维方式的理解。3.1 DEX加固与内存Dump的底层逻辑2018年正好是国内Android加固市场非常火的时候爱加密、梆梆、360等厂商的加固方案普及率很高所以笔试出DEX加固相关的题很合理。加固的基本原理是真正的DEX文件被加密存放在assets目录或so文件里App启动时由壳的loader解密并动态加载。Java层静态分析只能看到壳的入口看不到业务代码。应对加固的思路无外乎两个方向一是主动调用DexClassLoader加载后再dump二是在运行时从内存中将dex数据抓出来。前者可以利用Application的attachBaseContext钩子后者可以使用Frida的frida-dexdump项目在目标App运行时扫描内存中的dex魔数然后拼接还原。笔试如果考到这块一般不会让你真的去写一个脱壳机而是考察你具不具备动态加载后内存中会出现完整dex这个基本认知。答题时只要能把脱壳的核心链路说出来——定位loader、触发加载、扫描内存、修复dex结构——基本就是满分思路。很多人栽在实际只背了工具名却不清楚原理。建议动手做一次完整的脱壳实验哪怕只是一个非常简单的加固壳这个过程带来的理解深度是任何文档都无法替代的。3.2 反调试手段的识别与绕过Native层反调试是当年和现在都非常常见的保护手段笔试卷一般会贴一段反汇编代码让你识别它是反调试的什么方式。常见的反调试手法包括ptrace(PTRACE_TRACEME)防止被调试器附加读取/proc/self/status中的TracerPid字段如果非0说明被调试通过time()或clock_gettime()计算函数执行时间检测单步调试带来的时间差异检测本地端口是否被调试器占用如IDA的23946在JNI_OnLoad里启动子线程轮询检测。笔试的考点不在于有多少种反调试手段而在于给你一段汇编你能不能看出它在做什么。举个例子看到set_tls或者read系统调用配合特定寄存器赋值一般是读取TracerPid看到kill(getpid(), SIGSTOP)配合父子进程机制一般是反调试的子进程模型。绕过方案的答题思路也要清晰。最简单的方式是直接patch掉检测点——用十六进制编辑器把检测函数改成直接返回或者用Frida在运行时修改返回值。笔试中如果时间有限优先答patch和hook两条路线就足够了但最好能结合实际处理器的指令格式简单说明一下patch的细节这样才能体现你真的动手改过。3.3 混淆对抗从字符串加密到控制流平坦化混淆这块网易的卷子其实考得不深但基本概念和识别能力是必须的。2018年前后主流的混淆手段包括字符串加密、类名方法名随机化、控制流平坦化OLLVM和指令替换。笔试里经常会给出一个混淆前后的对比让你简单说明混淆策略。应对这类题我的经验是不要陷进如何逆OLLVM的牛角尖里因为校招笔试不可能要求你完整反混淆而是考察你是否具备识别出混淆类型并选择正确分析策略的能力。比如看到大量while循环和switch-case结构可以判断是控制流平坦化看到函数名随机且长度一致可以判断是标识符混淆。能做出判断然后说出大概的对抗思路如动态跟踪、符号执行、基于插桩的去平坦化就已经满足考题要求了。实际工作中真正要应对OLLVM时常规做法是结合Unicorn引擎做符号执行或者基于Frida做指令跟踪从动态执行轨迹中还原关键计算流程。这套东西做起来不轻松但笔试不会考到那么深理解原理即可。4. 苹果生态与关键基础iOS考点、密码学常识、协议分析的送分与拉分题很多准备Android方向的人容易忽略iOS基础但网易这类大厂的笔试卷里iOS题目通常占比在20%到30%。考虑到网易游戏和音乐业务线的iOS端体量这部分的备考不能完全放下。4.1 iOS逆向的基础观念越狱环境的调试工具链2018年笔试卷里的iOS题目基本都是围绕越狱环境下的逆向分析展开的。核心工具链包括class-dump用于导出OC头文件、Theos用于开发Tweak插件、Cycript/FLEX用于运行时UI与对象调试、LLDB用于动态调试。出题方向一般有两类一类是给你一截OC方法调用的log或是class-dump的头文件问你这个类的作用是什么、可以怎么利用另一类是给出一个App做了越狱检测的代码问你如何绕过。越狱检测的常见方式包括检查Cydia是否存在、fork()返回值是否正常、dlsym能否加载一些私有符号。绕过思路则很简单hook掉这些检测函数返回一个未越狱的结果即可。笔试答题时不需要你完整写出一个Tweak的代码但至少要说清楚用CydiaSubstrate的MSHookFunction或者Fishhook进行符号重绑定把access()或stat()的返回值改成正常状态。如果能写出具体函数名和hook思路这道题基本就稳了。4.2 密码学基础不是让你实现算法而是让你识别算法移动安全笔试几乎必考密码学题目但考法很务实不会让你手写AES或RSA的实现而是给一段代码或一个协议交互流程让你判断使用方式是否安全。常见的考点有几个ECB模式不能隐藏明文模式相同明文块产生相同密文块所以一般推荐CBC或GCMRSA的填充方式PKCS1_v1_5 vs OAEP会影响安全性硬编码密钥或写在so里的逻辑虽然比Java层强但依然可通过动态调试提取SSL Pinning证书固定是否被正确实现是否有绕过余地。网易这套卷子有一类让我印象深刻的题目是给了一段Java层AES加密的代码密钥写死在代码里然后问你如何利用Frida在运行时拿到明文。这个题的考察核心是开发者以为写了加密就安全了但加密的密钥保护才是真正的关键。答题思路是先定位到密钥的生成或赋值位置再Hook对应的Cipher.doFinal方法在内存中获取明文。这类题既考加密常识也考动态分析基本功属于典型的拉分题。4.3 网络协议与中间人视角HTTPS的证书校验与绕过移动端App的通信安全是笔试题的另一大块从http明文传输到https证书校验每一个层级都是考点。2018年的卷子已经开始大量考察HTTPS的中间人攻击了因为你如果抓不了包很多逆向分析就无从下手。核心知识是HTTPS本身是安全的但App如果不对服务器证书做严格校验中间人工具如Charles、Burp Suite就能通过伪造证书解密流量。笔试最常见的题目是给你一段okhttp或AFNetworking的证书校验配置代码让你判断能否被中间人攻击以及如何绕过。如果你刷过网易这套卷子应该会发现里面的网络协议题特别依赖实操经验。任何安全教育平台都会教你客户端要校验服务器证书但真实世界里有大量App只是校验了证书链而没有校验域名或者校验了域名却允许用户手动添加信任证书。这些细节不实际抓包很难发现。所以备考时一定要自己搭一个中间人抓包环境用Burp或Charles去连一个带HTTPS的App观察哪些校验会拦截、哪些不会。这个经验在笔试中非常值钱。5. 从笔试卷反推校招准备路线动手做别只看不练聊完这张卷子的具体考点我想再反过来聊聊备考策略。每年都有不少基础不错的同学在校招笔试上栽跟头在我看来大多数不是知识储备不够而是把看过当成了会做。移动安全是一个极度依赖动手能力的领域尤其是在笔试这种限时场景里如果你没有在平时反复练习过完整的分析流程到考场上很容易卡在某个工具的使用细节上。5.1 建立一套自己的作业流程针对网易这套卷子所代表的能力模型我建议你整理出一套可以反复使用的作业流程。我自己当年在准备时强行规定自己拿到任何APK样品都按以下步骤推进直到形成肌肉记忆用jadx快速浏览Manifest和入口Activity记录组件暴露和权限信息根据核心功能触发点定位到Java层关键方法对所有native方法建立清单结合导出函数在IDA中定位使用Frida做动态插桩确认关键函数的参数和返回值遇到加密算法时先用常见算法的特征比对再结合验证数据做交叉确认。这套流程听着简单但真要熟练到不假思索至少需要完整的脱产练习三到四周。很多校招笔试的失误并不是不会而是分析路径混乱东翻翻西看看最后时间不够用。有了一套自己的固定节奏临场发挥会稳定很多。5.2 Frida和unidbg一定要练出肌肉记忆如果只让我推荐两个必须熟练掌握的工具那就是Frida和unidbg。前者是动态分析的灵魂后者是Native层分析效率的助推器。这两个工具练熟以后大部分笔试题都会从看代码猜逻辑变成跑一下就知道结果。我给自己的练习方式是这样的每天挑一个开源的Android样本GitHub上有许多专门用于练习的Demo先用静态方式分析再用Frida做Hook验证对于涉及so的样本直接上unidbg把函数跑起来记录输入输出。坚持一个月后你会发现分析速度和准确率都有质的提升。5.3 善于利用笔试后的复盘笔试不仅仅是考核也是一次免费的学习机会。每次笔试结束后尽可能回忆并记录自己卡住的题目然后针对性地做专题补充。我第一次做网易这套卷子时在Native层分析上严重超时就是因为一开始用了太多时间在Java层试图找到完整的校验逻辑结果完全没意识到核心逻辑在Native层。这之后我特意加强了Java层找入口、Native层找答案的分析模式训练后期做题速度提升明显。移动安全校招这条路上的核心规律其实是共通的考题会变能力模型不会变。像网易这套2018年的笔试卷今天翻出来看很多题目仍然是面试官考察新人时最关心的点——分析链路是否完整、工具链是否熟练、对攻防对抗有没有自己的理解。不要把备考当作背题而是把它当作把安全分析基本功修炼扎实的过程。这样哪怕遇到完全没见过的题型你也能用底层能力稳定输出这才是校招笔试真正想筛出来的东西。