“Để trở thành một pentester giỏi, bạn phải quen thuộc với debugger như một nghệ sĩ với chiếc bút của mình - nó không chỉ là công cụ, mà là cánh tay nối dài của tư duy.”

Debug là quá trình quan trọng giúp chúng ta 

, tìm bug và lỗ hổng. Trong Reverse Engineering và Pwnable, debug không chỉ là “tìm bug”, mà còn là cách để chúng ta 

: lệnh nào đang được thực thi, dữ liệu nằm ở đâu, stack thay đổi thế nào, và control flow có thể bị điều khiển ra sao. Vì vậy, để debug hiệu quả, chúng ta cần đến các 

 — những công cụ giúp hacker, pentester và người học bảo mật phân tích chương trình ở tầng thấp một cách trực quan và chính xác hơn.

I. Công cụ đa nền tảng (Cross-platform)

 Linux, macOS, Windows (MinGW/Cygwin); nhiều kiến trúc (x86, x86-64, ARM, MIPS, RISC-V…).

 cổ điển của GNU. Nó cho phép dừng/breakpoint tại bất kỳ chỗ nào, kiểm tra giá trị register, biến, memory và điều khiển từng bước thực thi. Bạn có thể điều khiển luồng chương trình, xem stack, disassembly, thậm chí ghi nhật ký debug. GDB thường đi kèm với các plugin như 

 giúp đổi màu, thêm tính năng tự động tạo chuỗi gây lỗi (cyclic pattern), phân tích heap, debug qua QEMU… biến nó thành 

Miễn phí, phổ biến trên Linux và nhiều nền tảng khác.

Hỗ trợ breakpoint, watchpoint, xem register, stack, disasm.

Chạy trên máy ảo hay remote debug (ví dụ thông qua gdbserver).

Tích hợp tốt với các IDE/Editor, hỗ trợ scripting Python.

 Giao diện CLI ban đầu hơi khô khan với người mới; có đường cong học tập (nhất là không có GUI).

Biên dịch chương trình với flag debug: 

 GDB là chuẩn mực để debug trên Linux. Từ việc sửa lỗi phần mềm cho tới tận dụng trong CTF pwn, GDB (với Pwndbg/GEF) được dùng trong hầu hết các cuộc thi pwnable. Giảng viên an toàn thông tin thường hướng dẫn học viên 

LLDB - Debugger hiện đại của LLVM (macOS)

 macOS (i386, x86-64, AArch64/Apple Silicon) và cả iOS. Cũng có bản chạy trên Linux, hỗ trợ x86, ARM và các nền Unix.

 LLDB là debugger thế hệ mới, hiệu năng cao, do dự án LLVM phát triển. LLDB thường được xem là 

 trên Xcode (macOS). Nó tận dụng mã của LLVM/Clang để hỗ trợ tốt cho ngôn ngữ C, C++, Objective-C, Swift… ngoài ra nó còn hỗ trợ cú pháp hiện đại, nhiều lệnh đa dòng, hỗ trợ debug trên iOS. LLDB cho phép breakpoint, xem backtrace, inspect variables cũng như script Python mở rộng.

Mạnh về ngôn ngữ Apple (Swift, ObjC), cú pháp tương tự GDB nhưng có nhiều tiện ích.

Có giao diện GUI với Xcode, hoặc chạy CLI. Hỗ trợ script với Python, remote debug.

Hỗ trợ đầy đủ kiến trúc mới (AArch64, v.v.) mà LLVM phát triển.

 Có ít tài liệu tiếng việt hơn GDB. Nếu chuyển từ GDB sang LLDB thì mất thời gian học lại vài lệnh khác biệt.

 để chuyển từ GDB sang LLDB. Trên macOS, LLDB là lựa chọn ưu tiên do tương thích tốt với hệ Apple (có sẵn trong Xcode).

 và các project dùng LLVM/Clang. Nếu bạn dùng MacBook M1/M2/M3/M4, LLDB gần như là lựa chọn tự nhiên để debug chương trình C/C++, Swift, Objective-C hoặc Assembly ARM64. Với người học Assembly trên macOS, LLDB giúp hiểu rõ cách function call, stack frame và register hoạt động trên kiến trúc ARM64.

Radare2 & Cutter - Framework RE mã nguồn mở

 Đa nền tảng (Linux, Windows, macOS) với hỗ trợ nhiều kiến trúc CPU (x86, ARM, MIPS, RISC-V, …).

 Radare2 (r2) là bộ công cụ RE hoàn chỉnh, ban đầu viết cho Unix, sau này mở rộng qua 

. Radare2 gồm tập hợp tiện ích command-line phục vụ phân tích nhị phân, debug, emulation… Đặc biệt, r2 có debug rất mạnh: có thể debug chương trình cục bộ hoặc thông qua server như GDB/Windbg. Công cụ có các plugin tùy chọn, hỗ trợ script (via r2pipe) và đầu ra hiển thị dạng text. Vì giao diện trên r2 khá cơ bản, cho nên 

 ra đời như frontend Qt cho Rizin, cung cấp giao diện biểu đồ, hex view, decompiler tích hợp (Ghidra decompiler) và debugger đa nền tảng. Cutter cho phép debug native (tới mức beta) trên Windows/Linux/macOS với giao diện dễ tiếp cận hơn radare2 thuần CLI.

Hoàn toàn miễn phí, mã nguồn mở (GPLv3).

Hỗ trợ debug đa nền tảng, nhiều kiến trúc (xem description radare2).

Có thể phân tích, sửa code, patch file, trace execution… Rất linh hoạt cho reverse engineering.

Cutter thêm giao diện đồ họa (như IDA Pro) giúp dùng dễ hơn, với decompiler tích hợp của Ghidra.

 Giao diện CLI của radare2 không dễ nhìn đối với người mới, nhiều lệnh kỳ lạ. Cutter cải thiện GUI nhưng vẫn cần thời gian làm quen. Hiện tại debugger trong r2/Cutter đang là phiên bản beta nên có thể thiếu ổn định.

Với radare2 CLI:
Sau đó trong shell r2, chạy lệnh 

 để chạy đến breakpoint. Các lệnh khác như 

r2 -d ./app # mở file app trong chế độ debug 

 chọn chương trình, rồi click chuột phải để đặt breakpoint. Sử dụng thanh công cụ để 

 chương trình. Ta có thể xem biểu đồ hàm (graph view), sửa code ngay trong giao diện, và cài script Python tự động.

 R2/Cutter rất mạnh cho tự động hoá; bạn có thể script mọi thứ. Nếu thấy CLI quá khó, dùng Cutter ban đầu rồi mở terminal bên trong nó để chạy lệnh r2. Ngoài ra, Rizin (radare2 fork) có nhiều cải tiến đáng thử.

 Radare2/Cutter phù hợp với người thích 

CLI, automation và binary analysis nâng cao

. Trong thực tế, radare2 thường được dùng trong các trường hợp cần phân tích malware hoặc reverse engineering nâng cao. Ví dụ, nhóm bảo mật có thể dùng Cutter trên Windows để gỡ lỗi một file PE, hay trên Linux để trace một executable. Với tính năng scripting, nó cũng thường được dùng để build 

 Windows, macOS, Linux (đa nền tảng Java). Rất nhiều kiến trúc CPU (x86, ARM, MIPS, PowerPC, RISC-V, …) và định dạng file.

 Ghidra là framework phân tích mã nguồn mở do NSA phát hành từ 2019. Nó gồm bộ công cụ phân tích tĩnh 

 mạnh mẽ, phân tích luồng (graph view), cross-reference, scripting… Hầu hết dân RE coi Ghidra là công cụ thay thế IDA miễn phí, vì giao diện khá trực quan và có plugin phong phú. Ghidra cũng đã thêm debugger (dùng GDB server) nhưng thế mạnh chính vẫn là static analysis trên nhiều nền tảng. Mã nguồn Ghidra công khai nên ai cũng có thể tự mở rộng bằng Java/Python.

, open-source, rất phù hợp giáo dục và nghiên cứu.

Giao diện GUI tốt, hỗ trợ cộng tác (project multi-user).

Decompiler tích hợp chất lượng cao (tạo ra mã C giả để hiểu logic).

Hỗ trợ phân tích đa hệ (Windows PE, Linux ELF, Android… nhiều kiến trúc CPU).

Khả năng mở rộng với script (Ghidra API) và kho plugin từ cộng đồng.

 Debugging trong Ghidra chưa mạnh lắm (dùng GUI Ghidra sẽ gọi GDB/BinDbg phía sau). Học viên có thể bị “ngợp” với quá nhiều tính năng. Vì dùng Java, Ghidra hơi nặng và tốc độ một số thao tác có thể chậm hơn tương đương.

1. Cài đặt Java (JDK 21 64-bit) rồi tải file Ghidra release (*.zip) và giải nén.

3. Tạo New Project, import file nhị phân. Chọn mã máy phù hợp và để Ghidra tự phân tích.

 để viết macro hoặc tự động phân tích.

. Trong thực tế, chúng ta có thể dùng Ghidra khi có một binary không có source code và cần hiểu trước cấu trúc chương trình, hàm nào quan trọng, nhánh kiểm tra nằm ở đâu, string nào đáng chú ý, function nào xử lý input.

IDA Pro - Công cụ quốc dân Reverse Engineering chuyên sâu

 theo bảng sản phẩm của Hex-Rays, gồm các kiến trúc như 

x86-32, x86-64, ARM-32, ARM-64, MIPS-32+nM, MIPS-64, PPC-32, PPC-64, ARC, RISC-V-32, V850-32

 là phiên bản dành cho công việc reverse engineering chuyên sâu, đầy đủ: phân tích malware, audit phần mềm, nghiên cứu lỗ hổng, phân tích firmware, mobile app, embedded system và các binary phức tạp.

Điểm khác biệt lớn nhất của IDA Pro nằm ở độ sâu của hệ sinh thái: disassembler mạnh, decompiler chất lượng cao, debugger tích hợp, scripting, SDK, plugin, Lumina, Teams add-on và khả năng mở rộng workflow. Hex-Rays mô tả IDA Pro là một công cụ kết hợp disassembler, decompiler và debugger trong cùng một môi trường.

Hỗ trợ rất nhiều kiến trúc và định dạng binary.

Có decompiler chất lượng cao, dễ đọc, gần với mã nguồn gốc hơn.

Có thể dùng plugin, script, Private Lumina, Teams add-on trong workflow lớn.

Phù hợp với malware analysis, vulnerability research, firmware analysis, software assessment và reverse engineering chuyên nghiệp.

 IDA Pro thường được dùng khi gặp binary lớn hoặc phức tạp. Ví dụ: phân tích malware bị obfuscate, firmware embedded nhiều kiến trúc, app mobile native, driver, hoặc chương trình thương mại có nhiều lớp bảo vệ. Ngoài ra IDA Pro cũng được dùng hầu hết trong mọi trường hợp với độ phổ biến cao.

x64dbg - Debugger mã nguồn mở cho Windows

 chuyên cho Windows, tự nhận là “tiếp theo của OllyDbg” nhưng hỗ trợ đầy đủ 64-bit và GUI hiện đại. Nó tích hợp sẵn engine TitanEngine để debug file EXE/DLL; giao diện trực quan, nhiều chế độ xem (hex, memory map, thanh ghi, code view…) tương tự IDA Pro. x64dbg có cộng đồng phát triển sôi nổi, liên tục cập nhật plugin (profiling, unpacker…), kịch bản (script) và theme tuỳ chỉnh.

Mã nguồn mở (GPLv3), dùng miễn phí.

Hỗ trợ debug full 64-bit, giao diện trực quan, dễ dùng

Hỗ trợ plugin phong phú, thể hiện jump arrows & highlight màu code như IDA.

Tổng hợp công cụ debug trên Windows, Linux và macOS

Assembly là ngôn ngữ lập trình bậc thấp giúp hiểu rõ cơ chế máy tính: thanh ghi, bộ nhớ, ngăn xếp, và luồng điều khiển. Việc lập trình Assembly cần các công cụ debugger giúp quan sát từng câu lệnh và kiểm tra thanh ghi dễ dàng. Các trang web debugger assembly không chỉ cho viết và thực thi, mà còn có giao diện trực quan, gợi ý cú pháp để nâng cao hứng thú học.

 Những người có hiểu biết cơ bản về Assembly, đặc biệt phù hợp cho lớp học cần môi trường thực hành nhanh trên trình duyệt.

IDE tương tác với cho phép edit trực tiếp code Assembly

Emulator để build và thực thi code Assembly

Debugger hiển thị đầy đủ thông tin cần thiết như stack, memory, register, eflags,…

Có cơ chế code completion và một vài chức năng hữu ích khác như documentation, auto save,…

Có chức năng AI Chat hỗ trợ hỏi đáp

Hỗ trợ đa kiến trúc phổ biến (M68K, RISC-V, MIPS, x86)

Debugger thân thiện, dễ dùng, dễ hình dung luồng thực thi

Có hỗ trợ giao bài tập cho học viên, tổ chức exam

Có tài liệu hỗ trợ, thuận lợi cho việc tự học.

Chạy được ở phiên bản web và app

Chỉ đơn thuần là Emulator để phục vụ cho việc học hiểu Assembly

x86/64 đang trong giai đoạn phát triển, còn nhiều bug

 Người có hiểu biết cơ bản về Assembly, cần môi trường debug nhanh, tiện lợi trên Intel x64

IDE cho phép edit, compile, thực thi và share code Assembly.

Hỗ trợ nhiều assembler phổ biến như GNU As, Fasm, Nasm.

Debug từng bước với giao diện giống GDB.

Cho phép xem memory và register của process khi đang chạy.

Có thể tải file từ máy tính để chạy và debug trong sandbox.

Rất phù hợp để học và dạy Assembly

Giao diện giống GDB dễ làm quen với debug môi trường thật

Có thể dùng để demo x64 nhanh, tiện lợi

Phù hợp cho các bài học về stack, function call, syscall, shellcode cơ bản.

Emulator đơn thuần, không thể thay thế môi trường thật

Chỉ tập trung vào x86-64, không hỗ trợ MIPS, ARM, RISC-V.

Không có hệ thống bài tập, chấm điểm, quản lý lớp học.

Không thay thế hoàn toàn được GDB thật khi đi vào exploit nâng cao.

computerscience.missouristate.edu/mars-mips-simulator.htm

Hiển thị register, memory, data segment, text segment.

Thay đổi giá trị của register, memory, hỗ trợ hiển thị dạng hex hoặc decimal

Có command-line mode, hữu ích khi muốn test nhiều chương trình.

Giao diện rõ ràng, dễ quan sát register và memory.

Tiện lợi trong việc debug, dễ dàng thay đổi giá trị để tối ưu debug

Có tính giáo dục cao, được thiết kế cho mục đích học tập.

Có thể dùng command-line mode để hỗ trợ cho test chương trình.

Setup hơi phức tạp, cần cài đặt Java

Chỉ hỗ trợ MIPS, không dùng cho x86, ARM, RISC-V.

Phải cài đặt ứng dụng, không hỗ trợ chạy trên trình duyệt

Không phù hợp với bài học syscall Linux thật hoặc binary exploitation.

 Người học Assembly trong các thiết bị nhúng, lập trình vi điều khiển MSP430

Wargame/CTF về bảo mật thiết bị nhúng.

Giao diện hiển thị đầy đủ disassembly, register, memory.

Có nhiều level tăng dần độ khó.

Học assembly kết hợp với security

Có documents, tutorial chi tiết giúp học dễ dàng hơn.

Giúp luyện đọc disassembly, phân tích control flow, hiểu register/memory.

Phù hợp cho lớp reverse engineering, embedded security, CTF.

Không cần setup môi trường phức tạp.

Không phù hợp cho người mới học Assembly.

Cần nền tảng về debug, memory, instruction, binary.

Chỉ hỗ trợ RISC 16 bit cho vi điều khiển MSP430

 Người có hiểu biết cơ bản về Assembly, cần môi trường debug nhanh, có thể debug đa dạng trên nhiều kiến trúc khác nhau.

 Intel, ARM, RISC-V đã dạng các phiên bản compiler

Viết C/C++/Rust/Go… và xem Assembly output.

Có thể execute code trong một số cấu hình.

Có nhiều compiler, nhiều version, nhiều optimization level.

Có CFG, LLVM IR, AST, compiler output, runtime tools.

Rất tốt để hiểu mối liên hệ giữa source code và Assembly.

Phù hợp khi dạy calling convention, optimization, inline asm, ABI.

So sánh O0, O1, O2, O3 rất trực quan.

Không phải debugger Assembly truyền thống.

Không tập trung vào register/stack live khi step instruction.

Tổng hợp công cụ debug Assembly online

Trong Binary Exploitation (Pwnable), người học và hành trong mảng này thường không ít lần “đụng độ” những loại kiến trúc CPU khác nhau bao gồm x86 (32-bit), x64 (x86-64, 64-bit), ARM và MIPS. Mỗi kiến trúc có đặc điểm riêng và ứng dụng khác nhau, ảnh hưởng đến cách triển khai exploit. Tuy nhiên với người mới học thì việc chọn kiến trúc làm nơi bắt đầu để dấn thân vào mảng này cũng là điều cần tìm hiểu để có thể định hướng cho bản thân được rõ ràng hơn và đi xa hơn với nghề nghiệp tương lai. Mình sẽ cùng nhau tìm hiểu về các loại kiến trúc CPU dưới đây:

 Ra đời từ vi xử lý Intel 8086 (1978), là kiến trúc CISC nổi tiếng. Ban đầu là tập lệnh 16-bit, sau đó mở rộng lên 32-bit (x86) 

giữ tương thích ngược hoàn toàn

 Hệ thống x86 dùng rộng rãi trên máy tính cá nhân và server đời cũ; nó mạnh về hiệu suất nhưng tiêu thụ điện năng cao hơn RISC. Tuy hiện tại x86 đã không còn xuất hiện trong các bộ PC người dùng hiện đại ngày nay nhưng trong các thiết bị doanh nghiệp vẫn chiếm thị phần lên đến 90% như Server và Data Center, hệ thống nhúng trong ATM, thiết bị công nghiệp,… Không những thế các bài lab pwnable vẫn xuất hiện kiến trúc này.


Là kiến trúc kế thừa từ x86, được phát triển bởi AMD (nên còn gọi là 

) vào đầu những năm 2000, rồi sau đó được Intel áp dụng dưới tên 

. Kiến trúc này mở rộng thanh ghi và địa chỉ bộ nhớ lên 64-bit, giữ tương thích ngược với x86 (32-bit). Ngày nay, 

 trong các hệ điều hành máy tính hiện đại như Windows, Linux, macOS. Nó xuất hiện ở hầu hết 

PC, laptop, workstation, và server hiện đại

, cung cấp hiệu năng cao hơn hẳn x86 nhờ tập lệnh 64-bit, số lượng thanh ghi lớn và khả năng xử lý dữ liệu lớn hơn. Trong các cuộc thi CTF, các bài lab pwnable đa số hướng đến x64 vì độ phổ biến của nó.

 (Reduced Instruction Set Computing) được phát triển từ thập niên 1980 bởi Acorn Computers (Anh quốc) và hiện do ARM Holdings thiết kế. Nó được cấp phép rộng rãi cho các hãng như Apple, Qualcomm, MediaTek,... Kiến trúc ARM có hai biến thể phổ biến: Do tính 

tiết kiệm điện, nhỏ gọn, hiệu suất cao trên mỗi watt

, và đặc biệt là các thiết bị edge. Trong các cuộc thi CTF, ARM ít được phổ biến như x64, chủ yếu tập trung ở những cuộc thi quy mô lớn, nơi có nhiều người chơi “tay to” xuất hiện.

: Dùng phổ biến trong smartphone cũ, thiết bị IoT, hệ nhúng giá rẻ.

: Hiện đại hơn, được dùng trong 

smartphone, tablet, Raspberry Pi, laptop như Mac M1/M2/M3, và cả server tiết kiệm điện năng

 MIPS (Microprocessor without Interlocked Pipeline Stages) là kiến trúc RISC ra đời vào thập niên 1980, từng được sử dụng phổ biến trong hệ thống nhúng, router, switch, thiết bị mạng (như Linksys, Cisco), và một số thiết bị điện tử dân dụng như đầu thu kỹ thuật số, máy chơi game PS1/PS2, Nintendo 64. Hiện tại, MIPS đã 

, bị ARM thay thế ở hầu hết phân khúc thiết bị nhúng. Tuy nhiên, cũng như ARM, nó vẫn xuất hiện nhiều trong các bài lab pwnable CTF ở các cuộc thi có nhiều anh chàng “tay to”, nhờ vào hệ sinh thái giả lập dễ dùng, tài liệu đầy đủ và tập lệnh đơn giản, dễ học.

So sánh các kiến trúc ở nhiều khía cạnh đối với người mới học pwnable

 x86/x64 theo kiến trúc CISC có nhiều tập lệnh phức tạp, trong khi đó ARM và MIPS theo kiến trúc RISC thì đơn giản hơn và thường cho hiệu quả năng lượng cao. Tuy nhiên x86/x64 (CISC) đang 

, rất phổ biến nên việc chọn x86/x64 sẽ dễ tiếp cận hơn.

 Trong thực tế, x86/x64 được nghiên cứu rộng rãi nhất. Có vô số tài liệu hướng dẫn và công cụ hỗ trợ x86/x64 (IDA, Ghidra, GDB, radare2, pwntools, pwndbg, gef, peda,…). So với đó, tài liệu về ARM/MIPS có ít hơn. Ví dụ, Slava Moskvin khuyên “nên bắt đầu với x86” vì “có rất nhiều tài liệu và công cụ hỗ trợ nó hơn bất kỳ kiến trúc nào khác”. Ngược lại, học RISC (ARM/MIPS) có thể dễ hiểu về khái niệm tập lệnh, nhưng thực hành exploit trên RISC sẽ khó khăn hơn một chút vì ít được cập nhật tài liệu và các điều kiện hỗ trợ khác.

 Trong thực tế, x86/x64 được ứng dụng trên hầu hết các thiết bị máy tính người dùng phổ thông, cho nên việc nghiên cứu học tập sẽ dễ dàng hơn, dễ debug, giả lập hay ảo hóa,… Do đó việc có sẵn thiết bị sẽ 

 cho người mới học pwnable. Trong khi đối với ARM, MIPS thì sẽ khó khăn hơn vì thiết bị có sẵn môi trường để thực hành thì ít phổ biến và cần phải giả lập bằng các công cụ như Qemu,v.v… Vì vậy ở chiều hướng tiếp dận dễ dàng thì x86/x64 sẽ là lựa chọn phù hợp cho người mới học pwnable

 Hầu hết challenge pwnable (đặc biệt trên Linux) sử dụng x86 hoặc x86-64. Ví dụ, nền tảng CTF như 

, ROP Emporium chủ yếu thực hành lab trên x86/x64. Đối với người mới học pwnable thì có thể bắt đầu từ các lab như 

, HackTheBox,v.v… ARM và MIPS có một số challenges nhưng ít hơn, thường sẽ xuất hiện nhiều trong các cuộc thi CTF về đặc thù IoT/embedded.

 Về lý thuyết, RISC đơn giản hơn nên nếu chỉ học cơ bản thì ARM/MIPS có thể dễ hơn. Tuy nhiên, khi chuyển sang triển khai exploit thực tế, bạn cần nhiều ví dụ, hướng dẫn và 

 thì x86/x64 sẽ cung cấp nhiều hơn và nhiều điều kiện để rèn luyện hơn. Ngoài ra kiến thức trên trường thường đi từ các ngôn ngữ căn bản như C/C++ làm nền tảng phát triển đi lên nên việc tiếp cận x86/x64 sẽ dễ dàng hơn nhiều so với ARM hay MIPS vốn gặp nhiều hạn chế về một số điều kiện và tiêu chí nêu trên.

 Tùy vào mục đích mà bạn hướng tới cũng như thời gian hiện tại mà bạn có để xem xét nên ưu tiên tìm hiểu và tiếp cận kiến trúc nào trước và sau này đi sâu hơn vào nó. Chẳng hạn nếu bạn muốn đi sâu vào hệ thống nhúng, các thiết bị công nghiệp và bạn không có nhiều thời gian, muốn đi nhanh thì có thể nghĩ đến hướng tiếp cận từ ARM/MIPS, hoặc nếu bạn muốn đi sâu vào phân tích mã độc thì x86/x64 là mảnh đất màu mỡ để bạn khai phá và đào sâu thì hướng tiếp cần từ x86/x64 sẽ phù hợp với bạn, sau đó có thể tìm hiểu ARM/MIPS sau nếu bạn còn thời gian và muốn mở rộng thêm

Tài liệu và nguồn học pwnable hiệu quả

Nghệ thuật tận dụng lỗi phần mềm

 (Nguyễn Thành Nam) - tài liệu tiếng việt giải thích về các lỗ hổng cơ bản như buffer overflow, format string,…

 (Jon Erickson) – giải thích sâu về buffer overflow và shellcode trên Linux;

 (Hoglund & Butler) – hướng dẫn phát hiện và khai thác lỗ hổng trên x86;

Computer Systems: A Programmer’s Perspective

 (Bryant & O’Hallaron) – giúp hiểu hệ thống máy tính, bộ nhớ và tương tác C/Assembly;

 – về reversings và exploit. Ngoài ra có nhiều slide, video (ví dụ khóa học x86 của OpenSecurityTraining) và các series blog tutorial về exploit (thường minh họa bằng x86).

 Người mới học pwnable có thể lựa chọn nhiều công cụ hoặc một vài công cụ mình yêu thích để thực hành các bài lab như: 

Công cụ để giả lập: Unicorn, Qemu,…

Thư viện xây dựng exploit: Pwntools

 Các bạn có thể tập luyện trên các nền tảng CTF và wargame để nâng cao kiến thức và kỹ năng bản thân. Đa số các nền tảng đều có challenge từ đơn giản đến nâng cao, chủ yếu là x86/x64 giúp bạn làm quen với pwnable:    

 - Một trang web thực hành lab pwnable do anh em người Việt xây dựng

Tóm lại, mỗi kiến trúc đều có những đặc điểm và những điều kiện tiếp cận khác nhau, có những điều kiện thuận lợi và hạn chế khác nhau, với người mới học pwnable thì nên xem xét các khía cạnh trên và đưa ra hướng đi cho mình tùy vào điều kiện mà bạn đang có và mục đích mà bạn hướng đến.

Học Pwnable thì nên bắt đầu từ kiến trúc nào ?

 Sâu SQL Slammer khét tiếng năm 2003 chỉ có kích thước 

 – toàn bộ mã sâu này vừa đủ nằm gọn trong một gói tin UDP. Mã độc siêu nhỏ này được viết và tối ưu thủ công hoàn toàn bằng Assembly, cho thấy sức mạnh của Assembly trong việc tạo ra các chương trình độc hại tinh vi, nhỏ gọn. Kết quả là Slammer đã bùng nổ lây nhiễm hàng ngàn máy chủ chỉ trong vài phút, trở thành một trong những sâu máy tính lây lan nhanh nhất lịch sử.

 từ lâu đã được coi là “ngôn ngữ của máy tính” – cầu nối gần nhất giữa lập trình viên và phần cứng máy tính. Trong lĩnh vực 

, Assembly đóng vai trò vô cùng quan trọng. Lý do là hầu hết mã độc được phân phối dưới dạng chương trình nhị phân (đã biên dịch), nên chuyên gia phân tích 

 để đọc. Thay vào đó, họ phải dịch ngược chương trình về ngôn ngữ Assembly để hiểu được hành vi của mã độc. Nói cách khác, nếu không có kiến thức Assembly, việc phân tích tĩnh một mẫu malware phức tạp gần như 

. Assembly rõ ràng là một kỹ năng 

 đối với những ai muốn bước vào thế giới phân tích mã độc chuyên sâu.

 ngôn ngữ Assembly là gì, vì sao nó quan trọng trong ngành bảo mật và phân tích mã độc.

 rõ các loại Assembly theo từng kiến trúc CPU (x86/x64, ARM, MIPS) và ứng dụng thực tế.

 vai trò không thể thiếu của Assembly trong quá trình phân tích mã độc và kỹ thuật reverse engineering.

 nguồn tài nguyên và tài liệu học Assembly chất lượng cao dành cho người mới bắt đầu.

 hướng đi và lộ trình nghề nghiệp để tự tin bước chân vào lĩnh vực bảo mật, đặc biệt là phân tích mã độc.

) là ngôn ngữ lập trình cấp thấp được thiết kế để giao tiếp trực tiếp với phần cứng của máy tính. Mỗi chỉ thị (instruction) trong Assembly tương ứng gần như một-một với một mã máy (machine code) cụ thể, do đó mã Assembly phụ thuộc trực tiếp vào kiến trúc phần cứng. Khác với mã máy dạng nhị phân thuần túy khó đọc, Assembly dùng các câu lệnh dạng chữ (ví dụ 

…) giúp con người có thể hiểu được chức năng, nhưng vẫn đòi hỏi kiến thức chi tiết về kiến trúc máy tính để nắm bắt. Nói cách khác, Assembly chính là 

 giữa phần cứng và ngôn ngữ bậc cao như C++, Python hay JavaSript.

 Lập trình Assembly thao tác trực tiếp trên các 

 và địa chỉ bộ nhớ, cho phép truy xuất thẳng tới phần cứng và thiết bị ngoại vi. Ví dụ, thay vì làm việc với biến như ngôn ngữ cấp cao, lập trình viên Assembly sẽ làm việc với các thanh ghi như 

 hoặc địa chỉ bộ nhớ cụ thể.

Tag: Binary Exploitation