❤️ Likes
show all
namhandsome154’s Profile Photo

Latest answers from Mạnh Luật

Em chào anh Luật. Anh cho em hỏi muốn tiếp cận với những web attack vectors/techniques mới thì tìm hiểu ở những nguồn uy tín nào ạ ? Ngoài lề thì anh cho em hỏi anh nghĩ sao về XSS ? 1 bug XSS liệu impact có thấp vì là client-side vulnerability và liệu nó có lỗi thời hay không ? Em cảm ơn anh ạ.

em chịu khó follow và quan sát những idols trên mạng tìm ra những người tốt nhất thôi. Có vài nhóm bang hội mà anh thích: portswigger, nccgroup, cure53, labdetectify, ... nhiều lắm.
Em có thể tham khảo following của anh =)))
https://twitter.com/l4wio/following
--
Em nên chấp nhận việc client-side vuln là bị đánh impact thấp hơn những bug server-side thôi, công bằng đánh giá mà nói nó đúng là vậy mà.
Nhưng anh vẫn nghĩ XSS hay, hay vì nó mới, nó quá nhiều hướng để sáng tạo, nó có còn quá nhiều vấn đề để secure và cả tấn công.
Lỗi thời thì không chắc, a không biết được tương lai, có thể về sau nó là XS-Leaks hoặc thêm 10 loại attack client-side vuln nữa chẳng hạn... who knows.

View more

Hello anh Luật. Dưới góc nhìn của anh, để bắt đầu làm binary exploitation thì nên bắt đầu từng single bug (BoF, Integer overflow, Heap,...) hay là học về fuzzing trước? Và nếu là từng single bug như đã nói ở trên thì anh có lời khuyên gì cho người bắt đầu tìm hiểu? Chúc anh sức khoẻ.

Theo anh quan sát những người giỏi thì họ thường bắt đầu bằng audit trước rồi sẽ tới suy nghĩ cách fuzz, song song lại tiếp tục review code trong khi fuzz đang chạy (hoặc suy nghĩ cách fuzz hay hơn nữa), đấy quy trình tìm bug nó 1 vòng tròn như vậy.
Còn nếu em bắt đầu fuzz trước, okay em vẫn có thể ra bug đó, rồi em cũng sẽ có thể thành công luôn! Ai biết được, fuzz nó có yếu tố xác suất trong đây, nhưng mà thật sự nếu em là một người thợ săn giỏi thì giác quan của em sẽ rất tốt, em biết mình nên săn như thế nào, ở đâu. Cái giác quan đó lại phải tập luyện nhờ đọc code, đọc các writeup, previous work, blah blah.

View more

Anh ơi khi report cùng 1 bug cho Microsoft mà 1 người report trước chỉ crash, người sau leo được quyền thì có tính là trùng nhau không ạ ?

hoangduong9’s Profile PhotoHoang Duong
Cái này... tùy em ơi. Phải xem phản hồi của Microsoft ở bug đầu tiên kia là gì trước đã.
Bị cho là "Won't Fix" hay là một valid bug.
Cái này quy trình nó tùm lum, mình cũng không hiểu hết.

View more

Anh đánh giá thế nào về khoá WAPTx v2 (eLearnSecurity) và SEC542 + SEC642 (SANS) ? Những khoá học như thế có đáp ứng đủ nhu cầu để đi làm Web App Pentester hay không ?

Theo anh thì cách học mới quan trọng, hơn là chọn khóa học nào.
Nếu em có 1 cách học hiệu quả thì học gì cũng đc, tự học còn được.
Cách học của anh thì đã được anh chia sẻ trên blog của mình.

View more

tôi năm nay đã 28 tuổi , liệu có quá muộn khi đam mê ctf

Theo những gì mình thấy tình hình CTF thế giới và trong nước thì có người 30-40 tuổi vẫn chơi.
Nếu bạn không bị áp lực về thời gian/kinh tế và chỉ muốn tham gia cho vui thì triển thôi.
Còn để try hard và chơi lút cán để leo top Tier 1 team như mình đã từng thì ... e là khó vì phải bỏ ra quỹ thời gian, tập trung, hard core lắm.
GLHF!

View more

Mục tiêu cuối cùng trong sự nghiệp của anh là gì? Anh đang làm vì điều gì? Mẫu hình tượng sau này của anh là gì? Em hỏi câu này vì hiện em đang làm pentest tại cty X nhưng gặp phải sếp ko tốt làm em mất đi đam mê và hứng thú trong công việc. Em đang tìm 1 thứ mới mẻ cho côg việc của mình.

Câu này khá dài, anh sẽ để đây, vì sợ nó trôi mất (ask.fm khá sida)

View more

ai cũng có lúc bắt đầu khó khăn đúng không anh? em luôn muốn tìm câu trả lời về vấn đề này từ các anh. Từ lúc bắt đầu, là lúc mà mình không hề có kiến thức gì , anh đã học và thực hành, tìm hiểu như thế nào ?. Cụ thể hơn về exploit chẳng hạn, mong anh có thể trả lời rõ ạ

trong cbjs talk#5 a sẽ bàn về câu hỏi này.

View more

Lúc anh mới bắt đầu với nghề của anh, anh có định hướng rõ ràng hay không ?

Anh nghĩ rất ít người mà có thể định hướng career path rõ ràng từ lúc bắt đầu, trừ khi là nối nghiệp gia đình hay ba má sắp đặt thôi.
Em cứ từ từ làm và theo đuổi thứ mình thích, quan sát, trải nghiệm thì sẽ dần định hình được nó thôi.
Nghĩ ít đi, làm nhiều hơn.
(Nhưng không có nghĩa là không nghĩ)

View more

Anh có bao giờ tự ti về trình độ chuyên môn của bản thân ko ạ?

"Tự ti là hành vi tự quở trách bản thân bằng cách tự coi thường, đánh giá thấp hay nói xấu chính mình hoăc tự cho mình là kém hơn người,hoặc quá khiêm tốn. Đôi khi người ta tự ti để gây cười hoặc giải tỏa căng thẳng."
https://vi.wikipedia.org/wiki/T%E1%BB%B1_ti
--
Hồi trẻ thì nhiều, chủ yếu là cảm giác thấy trình còn còi, còn quá nhiều sai lầm nên luôn cảm giác phải phấn đấu để tiến bộ, cái này là một động lực để phát triển. Tự ti là một nguồn năng lượng rất lớn để tiến bộ chứ không phải dùng nó để ngồi úp mặt vô gối than thân trách phận.
Hồi xưa có coi stream của QTV (game Liên minh) ảnh có nói một câu đại loại như: "Team xanh mà vẫn thua là trách tui tạ, còn tui xanh mà team vẫn thua thì trách tui không đủ trình để gánh team"
Bây giờ thì đôi khi vẫn có chứ, nhưng thường nó là việc nghĩ rằng mình đã có thể làm tốt hơn trong trường hợp đó, nhưng anh chỉ take note, và tiếp tục di chuyển, hạn chế tối đa hoặc hoàn toàn cảm xúc tiêu cực. Chỉ nhìn vào mục tiêu mà mình đang nhắm tới, sửa đổi, hoàn thiện, làm mọi cách để đạt được hoy.
Dần dần theo thời gian, khi em ngày càng cứng hơn thì sẽ biết được giá trị của mình nằm ở đâu (self-awareness) và không phải lúc nào cũng đem so sánh khả năng mình với người khác. Mỗi người đều có điểm mạnh/yếu.
Có thể họ giỏi ở lĩnh vực này, nhưng ở một vấn đề khác họ vẫn có thể là một beginner. Nói vậy cũng không đồng nghĩa là mình được lơ là và dễ dãi với bản thân, mà phải liên tục phấn đấu, cải thiện liên tọi để đạt trạng thái, phiên bản tốt nhất của mình.
Peace

View more