資安工程師（Web/API 滲透測試 Pentester）

1.針對網站與 API 進行滲透測試，包含 IDOR 越權、2FA 與 JWT 繞過等
2.挖掘業務邏輯漏洞：價格竄改、優惠券／點數濫用、race condition（重複領獎、重複扣款）、交易流程繞過
3.評估會員資料外洩管道
4.測試 WAF 防護有效性
5.OSINT 偵查：子網域列舉、找出域名背後的真實 IP
6.追蹤高風險 CVE 與 0-day 情資，篩選與公司相關的項目並實際驗證
7.不需撰寫制式報告但需與開發團隊持續解釋漏洞成因直到修復漏洞

必備條件：

• 熟悉 OWASP Top 10 與 OWASP API Security Top 10
• 熟悉 HTTP 協定與常見網站架構（CDN、反向代理等）
• 熟悉 Session、JWT、OAuth 等認證授權機制
• 熟練使用 Burp Suite、ffuf 等滲透測試工具
• 具備 Python、Bash 或 Java 的程式閱讀能力，能自行撰寫測試腳本
• 熟知紅隊常用cve 和getshell後的後滲透流程
• 具大型網站滲透實務經驗，熟悉業務邏輯漏洞與會員系統 API 越權漏洞
• 能清楚向開發人員說明漏洞成因與修補方向