HR筛一份渗透测试岗的渗透简历，平均用时是测试7秒。7秒里她看什么？简历不是你会多少工具，而是渗透你有没有拿得出手的漏洞。

去年帮一个朋友改简历。测试他写了三页，简历从Nmap到Burp Suite列了二十多个工具，渗透CVE编号一个没有。测试我让他删到一页，简历把某次众测中通过逻辑缺陷拿下某电商后台的渗透案例放最上面，附上漏洞报告截图和厂商致谢邮件。测试两周后他拿到三个面试。简历工具清单谁都会抄，渗透真实战绩抄不来。测试

项目经历别写成操作手册

“使用AWVS扫描目标站点，简历发现SQL注入漏洞并利用sqlmap获取数据库权限”——这种描述面试官一天看八十遍。换个写法：目标是一个跑了三年的Java老站，WAF拦了常规payload，最后靠时间盲注配合编码绕过拿下的。重点不是你用了什么，而是你遇到了什么阻碍、怎么绕过去的。

有个候选人的简历我印象很深。他在项目里写：“目标内网段做了端口隔离，常规横向失败，后来从运维人员浏览器书签里翻到一个未授权的Jenkins，拿下的。”就这么一句话，比十行工具列表管用。面试官看到这种细节，脑子里已经开始模拟追问了。

漏洞平台账号比证书好使

OWASP Top 10背得再熟，不如一个SRC排名前五十的账号。某安全团队leader跟我聊过，他筛简历先看有没有补天、漏洞盒子、HackerOne的ID，有的话直接翻提交记录。CISP、OSCP当然加分，但那些是门槛，不是亮点。一个提交过某大厂高危漏洞的账号，比简历上写“精通渗透测试”有说服力得多。

如果你刚入行，没有大厂项目怎么办？把靶场打穿也有价值。VulnHub、HackTheBox的排名截图放上去，写清楚哪台靶机用了什么非预期路径。面试官不傻，他知道靶场和真实环境的差距，但他要看的是你的思路是不是活的。

技术栈描述要具体到版本

“熟悉Web安全”这种话等于没说。改成“能独立完成PHP/Java/Node.js应用的代码审计，重点看文件上传和反序列化”。工具部分也别写“熟练使用Burp Suite”，直接写“能写Burp插件改包，会调Turbo Intruder做并发竞争测试”。

还有个小细节：如果你挖过某类特定漏洞，比如支付逻辑、OAuth配置错误、JWT算法混淆，单独列一行。这比“熟悉OWASP Top 10”精准得多。招聘方看到这种描述，会觉得你至少在某一个方向上踩过坑。

别忽略“非技术”信息

渗透测试报告是要给客户看的。简历里加一句“能写中英文漏洞报告，有给非技术人员做汇报的经验”，有时候比多写一个工具管用。我见过技术很强但报告写得像天书的渗透测试工程师，项目交付时被客户投诉。甲方要的是能说清楚风险的人，不是只会弹shell的人。

简历底部留一行：GitHub地址、博客链接、Twitter。别放那些三年没更新的。面试官点进去看到你最近还在跟CVE或者写工具，印象分直接拉满。如果什么都没有，不如不放。

最后说句实在的。渗透测试这行，简历不是写出来的，是打出来的。你挖过的每一个洞，都会在简历上变成一行字。没挖过，那就先去挖。