em chịu khó follow và quan sát những idols trên mạng tìm ra những người tốt nhất thôi. Có vài nhóm bang hội mà anh thích: portswigger, nccgroup, cure53, labdetectify, ... nhiều lắm.
Em có thể tham khảo following của anh =)))
https://twitter.com/l4wio/following
--
Em nên chấp nhận việc client-side vuln là bị đánh impact thấp hơn những bug server-side thôi, công bằng đánh giá mà nói nó đúng là vậy mà.

---

Nhưng anh vẫn nghĩ XSS hay, hay vì nó mới, nó quá nhiều hướng để sáng tạo, nó có còn quá nhiều vấn đề để secure và cả tấn công.

---

Lỗi thời thì không chắc, a không biết được tương lai, có thể về sau nó là XS-Leaks hoặc thêm 10 loại attack client-side vuln nữa chẳng hạn... who knows.

Theo anh quan sát những người giỏi thì họ thường bắt đầu bằng audit trước rồi sẽ tới suy nghĩ cách fuzz, song song lại tiếp tục review code trong khi fuzz đang chạy (hoặc suy nghĩ cách fuzz hay hơn nữa), đấy quy trình tìm bug nó 1 vòng tròn như vậy.

---

Còn nếu em bắt đầu fuzz trước, okay em vẫn có thể ra bug đó, rồi em cũng sẽ có thể thành công luôn! Ai biết được, fuzz nó có yếu tố xác suất trong đây, nhưng mà thật sự nếu em là một người thợ săn giỏi thì giác quan của em sẽ rất tốt, em biết mình nên săn như thế nào, ở đâu. Cái giác quan đó lại phải tập luyện nhờ đọc code, đọc các writeup, previous work, blah blah.

Cái này... tùy em ơi. Phải xem phản hồi của Microsoft ở bug đầu tiên kia là gì trước đã.
Bị cho là "Won't Fix" hay là một valid bug.
Cái này quy trình nó tùm lum, mình cũng không hiểu hết.

Theo anh thì cách học mới quan trọng, hơn là chọn khóa học nào.
Nếu em có 1 cách học hiệu quả thì học gì cũng đc, tự học còn được.
Cách học của anh thì đã được anh chia sẻ trên blog của mình.

Tụi anh đã tuyển intern rồi.
Hiện tại thì tụi anh chưa có ý định tuyển thêm, em có thể theo dõi fanpage để update thông tin khi có.

Mấy cái này khá căn bản, tài liệu rất nhiều.

---

https://jhalon.github.io/becoming-a-pentester/
etc.

Theo những gì mình thấy tình hình CTF thế giới và trong nước thì có người 30-40 tuổi vẫn chơi.

---

Nếu bạn không bị áp lực về thời gian/kinh tế và chỉ muốn tham gia cho vui thì triển thôi.

---

Còn để try hard và chơi lút cán để leo top Tier 1 team như mình đã từng thì ... e là khó vì phải bỏ ra quỹ thời gian, tập trung, hard core lắm.

---

GLHF!

Câu này khá dài, anh sẽ để đây, vì sợ nó trôi mất (ask.fm khá sida)

trong cbjs talk#5 a sẽ bàn về câu hỏi này.

Anh nghĩ rất ít người mà có thể định hướng career path rõ ràng từ lúc bắt đầu, trừ khi là nối nghiệp gia đình hay ba má sắp đặt thôi.

---

Em cứ từ từ làm và theo đuổi thứ mình thích, quan sát, trải nghiệm thì sẽ dần định hình được nó thôi.

---

Nghĩ ít đi, làm nhiều hơn.
(Nhưng không có nghĩa là không nghĩ)