“Để trở thành một pentester giỏi, bạn phải quen thuộc với debugger như một nghệ sĩ với chiếc bút của mình - nó không chỉ là công cụ, mà là cánh tay nối dài của tư duy.”

Debug là quá trình quan trọng giúp chúng ta 

, tìm bug và lỗ hổng. Trong Reverse Engineering và Pwnable, debug không chỉ là “tìm bug”, mà còn là cách để chúng ta 

: lệnh nào đang được thực thi, dữ liệu nằm ở đâu, stack thay đổi thế nào, và control flow có thể bị điều khiển ra sao. Vì vậy, để debug hiệu quả, chúng ta cần đến các 

 — những công cụ giúp hacker, pentester và người học bảo mật phân tích chương trình ở tầng thấp một cách trực quan và chính xác hơn.

I. Công cụ đa nền tảng (Cross-platform)

 Linux, macOS, Windows (MinGW/Cygwin); nhiều kiến trúc (x86, x86-64, ARM, MIPS, RISC-V…).

 cổ điển của GNU. Nó cho phép dừng/breakpoint tại bất kỳ chỗ nào, kiểm tra giá trị register, biến, memory và điều khiển từng bước thực thi. Bạn có thể điều khiển luồng chương trình, xem stack, disassembly, thậm chí ghi nhật ký debug. GDB thường đi kèm với các plugin như 

 giúp đổi màu, thêm tính năng tự động tạo chuỗi gây lỗi (cyclic pattern), phân tích heap, debug qua QEMU… biến nó thành 

Miễn phí, phổ biến trên Linux và nhiều nền tảng khác.

Hỗ trợ breakpoint, watchpoint, xem register, stack, disasm.

Chạy trên máy ảo hay remote debug (ví dụ thông qua gdbserver).

Tích hợp tốt với các IDE/Editor, hỗ trợ scripting Python.

 Giao diện CLI ban đầu hơi khô khan với người mới; có đường cong học tập (nhất là không có GUI).

Biên dịch chương trình với flag debug: 

 GDB là chuẩn mực để debug trên Linux. Từ việc sửa lỗi phần mềm cho tới tận dụng trong CTF pwn, GDB (với Pwndbg/GEF) được dùng trong hầu hết các cuộc thi pwnable. Giảng viên an toàn thông tin thường hướng dẫn học viên 

LLDB - Debugger hiện đại của LLVM (macOS)

 macOS (i386, x86-64, AArch64/Apple Silicon) và cả iOS. Cũng có bản chạy trên Linux, hỗ trợ x86, ARM và các nền Unix.

 LLDB là debugger thế hệ mới, hiệu năng cao, do dự án LLVM phát triển. LLDB thường được xem là 

 trên Xcode (macOS). Nó tận dụng mã của LLVM/Clang để hỗ trợ tốt cho ngôn ngữ C, C++, Objective-C, Swift… ngoài ra nó còn hỗ trợ cú pháp hiện đại, nhiều lệnh đa dòng, hỗ trợ debug trên iOS. LLDB cho phép breakpoint, xem backtrace, inspect variables cũng như script Python mở rộng.

Mạnh về ngôn ngữ Apple (Swift, ObjC), cú pháp tương tự GDB nhưng có nhiều tiện ích.

Có giao diện GUI với Xcode, hoặc chạy CLI. Hỗ trợ script với Python, remote debug.

Hỗ trợ đầy đủ kiến trúc mới (AArch64, v.v.) mà LLVM phát triển.

 Có ít tài liệu tiếng việt hơn GDB. Nếu chuyển từ GDB sang LLDB thì mất thời gian học lại vài lệnh khác biệt.

 để chuyển từ GDB sang LLDB. Trên macOS, LLDB là lựa chọn ưu tiên do tương thích tốt với hệ Apple (có sẵn trong Xcode).

 và các project dùng LLVM/Clang. Nếu bạn dùng MacBook M1/M2/M3/M4, LLDB gần như là lựa chọn tự nhiên để debug chương trình C/C++, Swift, Objective-C hoặc Assembly ARM64. Với người học Assembly trên macOS, LLDB giúp hiểu rõ cách function call, stack frame và register hoạt động trên kiến trúc ARM64.

Radare2 & Cutter - Framework RE mã nguồn mở

 Đa nền tảng (Linux, Windows, macOS) với hỗ trợ nhiều kiến trúc CPU (x86, ARM, MIPS, RISC-V, …).

 Radare2 (r2) là bộ công cụ RE hoàn chỉnh, ban đầu viết cho Unix, sau này mở rộng qua 

. Radare2 gồm tập hợp tiện ích command-line phục vụ phân tích nhị phân, debug, emulation… Đặc biệt, r2 có debug rất mạnh: có thể debug chương trình cục bộ hoặc thông qua server như GDB/Windbg. Công cụ có các plugin tùy chọn, hỗ trợ script (via r2pipe) và đầu ra hiển thị dạng text. Vì giao diện trên r2 khá cơ bản, cho nên 

 ra đời như frontend Qt cho Rizin, cung cấp giao diện biểu đồ, hex view, decompiler tích hợp (Ghidra decompiler) và debugger đa nền tảng. Cutter cho phép debug native (tới mức beta) trên Windows/Linux/macOS với giao diện dễ tiếp cận hơn radare2 thuần CLI.

Hoàn toàn miễn phí, mã nguồn mở (GPLv3).

Hỗ trợ debug đa nền tảng, nhiều kiến trúc (xem description radare2).

Có thể phân tích, sửa code, patch file, trace execution… Rất linh hoạt cho reverse engineering.

Cutter thêm giao diện đồ họa (như IDA Pro) giúp dùng dễ hơn, với decompiler tích hợp của Ghidra.

 Giao diện CLI của radare2 không dễ nhìn đối với người mới, nhiều lệnh kỳ lạ. Cutter cải thiện GUI nhưng vẫn cần thời gian làm quen. Hiện tại debugger trong r2/Cutter đang là phiên bản beta nên có thể thiếu ổn định.

Với radare2 CLI:
Sau đó trong shell r2, chạy lệnh 

 để chạy đến breakpoint. Các lệnh khác như 

r2 -d ./app # mở file app trong chế độ debug 

 chọn chương trình, rồi click chuột phải để đặt breakpoint. Sử dụng thanh công cụ để 

 chương trình. Ta có thể xem biểu đồ hàm (graph view), sửa code ngay trong giao diện, và cài script Python tự động.

 R2/Cutter rất mạnh cho tự động hoá; bạn có thể script mọi thứ. Nếu thấy CLI quá khó, dùng Cutter ban đầu rồi mở terminal bên trong nó để chạy lệnh r2. Ngoài ra, Rizin (radare2 fork) có nhiều cải tiến đáng thử.

 Radare2/Cutter phù hợp với người thích 

CLI, automation và binary analysis nâng cao

. Trong thực tế, radare2 thường được dùng trong các trường hợp cần phân tích malware hoặc reverse engineering nâng cao. Ví dụ, nhóm bảo mật có thể dùng Cutter trên Windows để gỡ lỗi một file PE, hay trên Linux để trace một executable. Với tính năng scripting, nó cũng thường được dùng để build 

 Windows, macOS, Linux (đa nền tảng Java). Rất nhiều kiến trúc CPU (x86, ARM, MIPS, PowerPC, RISC-V, …) và định dạng file.

 Ghidra là framework phân tích mã nguồn mở do NSA phát hành từ 2019. Nó gồm bộ công cụ phân tích tĩnh 

 mạnh mẽ, phân tích luồng (graph view), cross-reference, scripting… Hầu hết dân RE coi Ghidra là công cụ thay thế IDA miễn phí, vì giao diện khá trực quan và có plugin phong phú. Ghidra cũng đã thêm debugger (dùng GDB server) nhưng thế mạnh chính vẫn là static analysis trên nhiều nền tảng. Mã nguồn Ghidra công khai nên ai cũng có thể tự mở rộng bằng Java/Python.

, open-source, rất phù hợp giáo dục và nghiên cứu.

Giao diện GUI tốt, hỗ trợ cộng tác (project multi-user).

Decompiler tích hợp chất lượng cao (tạo ra mã C giả để hiểu logic).

Hỗ trợ phân tích đa hệ (Windows PE, Linux ELF, Android… nhiều kiến trúc CPU).

Khả năng mở rộng với script (Ghidra API) và kho plugin từ cộng đồng.

 Debugging trong Ghidra chưa mạnh lắm (dùng GUI Ghidra sẽ gọi GDB/BinDbg phía sau). Học viên có thể bị “ngợp” với quá nhiều tính năng. Vì dùng Java, Ghidra hơi nặng và tốc độ một số thao tác có thể chậm hơn tương đương.

1. Cài đặt Java (JDK 21 64-bit) rồi tải file Ghidra release (*.zip) và giải nén.

3. Tạo New Project, import file nhị phân. Chọn mã máy phù hợp và để Ghidra tự phân tích.

 để viết macro hoặc tự động phân tích.

. Trong thực tế, chúng ta có thể dùng Ghidra khi có một binary không có source code và cần hiểu trước cấu trúc chương trình, hàm nào quan trọng, nhánh kiểm tra nằm ở đâu, string nào đáng chú ý, function nào xử lý input.

IDA Pro - Công cụ quốc dân Reverse Engineering chuyên sâu

 theo bảng sản phẩm của Hex-Rays, gồm các kiến trúc như 

x86-32, x86-64, ARM-32, ARM-64, MIPS-32+nM, MIPS-64, PPC-32, PPC-64, ARC, RISC-V-32, V850-32

 là phiên bản dành cho công việc reverse engineering chuyên sâu, đầy đủ: phân tích malware, audit phần mềm, nghiên cứu lỗ hổng, phân tích firmware, mobile app, embedded system và các binary phức tạp.

Điểm khác biệt lớn nhất của IDA Pro nằm ở độ sâu của hệ sinh thái: disassembler mạnh, decompiler chất lượng cao, debugger tích hợp, scripting, SDK, plugin, Lumina, Teams add-on và khả năng mở rộng workflow. Hex-Rays mô tả IDA Pro là một công cụ kết hợp disassembler, decompiler và debugger trong cùng một môi trường.

Hỗ trợ rất nhiều kiến trúc và định dạng binary.

Có decompiler chất lượng cao, dễ đọc, gần với mã nguồn gốc hơn.

Có thể dùng plugin, script, Private Lumina, Teams add-on trong workflow lớn.

Phù hợp với malware analysis, vulnerability research, firmware analysis, software assessment và reverse engineering chuyên nghiệp.

 IDA Pro thường được dùng khi gặp binary lớn hoặc phức tạp. Ví dụ: phân tích malware bị obfuscate, firmware embedded nhiều kiến trúc, app mobile native, driver, hoặc chương trình thương mại có nhiều lớp bảo vệ. Ngoài ra IDA Pro cũng được dùng hầu hết trong mọi trường hợp với độ phổ biến cao.

x64dbg - Debugger mã nguồn mở cho Windows

 chuyên cho Windows, tự nhận là “tiếp theo của OllyDbg” nhưng hỗ trợ đầy đủ 64-bit và GUI hiện đại. Nó tích hợp sẵn engine TitanEngine để debug file EXE/DLL; giao diện trực quan, nhiều chế độ xem (hex, memory map, thanh ghi, code view…) tương tự IDA Pro. x64dbg có cộng đồng phát triển sôi nổi, liên tục cập nhật plugin (profiling, unpacker…), kịch bản (script) và theme tuỳ chỉnh.

Mã nguồn mở (GPLv3), dùng miễn phí.

Hỗ trợ debug full 64-bit, giao diện trực quan, dễ dùng

Hỗ trợ plugin phong phú, thể hiện jump arrows & highlight màu code như IDA.

Tổng hợp công cụ debug trên Windows, Linux và macOS

Trong Binary Exploitation (Pwnable), người học và hành trong mảng này thường không ít lần “đụng độ” những loại kiến trúc CPU khác nhau bao gồm x86 (32-bit), x64 (x86-64, 64-bit), ARM và MIPS. Mỗi kiến trúc có đặc điểm riêng và ứng dụng khác nhau, ảnh hưởng đến cách triển khai exploit. Tuy nhiên với người mới học thì việc chọn kiến trúc làm nơi bắt đầu để dấn thân vào mảng này cũng là điều cần tìm hiểu để có thể định hướng cho bản thân được rõ ràng hơn và đi xa hơn với nghề nghiệp tương lai. Mình sẽ cùng nhau tìm hiểu về các loại kiến trúc CPU dưới đây:

 Ra đời từ vi xử lý Intel 8086 (1978), là kiến trúc CISC nổi tiếng. Ban đầu là tập lệnh 16-bit, sau đó mở rộng lên 32-bit (x86) 

giữ tương thích ngược hoàn toàn

 Hệ thống x86 dùng rộng rãi trên máy tính cá nhân và server đời cũ; nó mạnh về hiệu suất nhưng tiêu thụ điện năng cao hơn RISC. Tuy hiện tại x86 đã không còn xuất hiện trong các bộ PC người dùng hiện đại ngày nay nhưng trong các thiết bị doanh nghiệp vẫn chiếm thị phần lên đến 90% như Server và Data Center, hệ thống nhúng trong ATM, thiết bị công nghiệp,… Không những thế các bài lab pwnable vẫn xuất hiện kiến trúc này.


Là kiến trúc kế thừa từ x86, được phát triển bởi AMD (nên còn gọi là 

) vào đầu những năm 2000, rồi sau đó được Intel áp dụng dưới tên 

. Kiến trúc này mở rộng thanh ghi và địa chỉ bộ nhớ lên 64-bit, giữ tương thích ngược với x86 (32-bit). Ngày nay, 

 trong các hệ điều hành máy tính hiện đại như Windows, Linux, macOS. Nó xuất hiện ở hầu hết 

PC, laptop, workstation, và server hiện đại

, cung cấp hiệu năng cao hơn hẳn x86 nhờ tập lệnh 64-bit, số lượng thanh ghi lớn và khả năng xử lý dữ liệu lớn hơn. Trong các cuộc thi CTF, các bài lab pwnable đa số hướng đến x64 vì độ phổ biến của nó.

 (Reduced Instruction Set Computing) được phát triển từ thập niên 1980 bởi Acorn Computers (Anh quốc) và hiện do ARM Holdings thiết kế. Nó được cấp phép rộng rãi cho các hãng như Apple, Qualcomm, MediaTek,... Kiến trúc ARM có hai biến thể phổ biến: Do tính 

tiết kiệm điện, nhỏ gọn, hiệu suất cao trên mỗi watt

, và đặc biệt là các thiết bị edge. Trong các cuộc thi CTF, ARM ít được phổ biến như x64, chủ yếu tập trung ở những cuộc thi quy mô lớn, nơi có nhiều người chơi “tay to” xuất hiện.

: Dùng phổ biến trong smartphone cũ, thiết bị IoT, hệ nhúng giá rẻ.

: Hiện đại hơn, được dùng trong 

smartphone, tablet, Raspberry Pi, laptop như Mac M1/M2/M3, và cả server tiết kiệm điện năng

 MIPS (Microprocessor without Interlocked Pipeline Stages) là kiến trúc RISC ra đời vào thập niên 1980, từng được sử dụng phổ biến trong hệ thống nhúng, router, switch, thiết bị mạng (như Linksys, Cisco), và một số thiết bị điện tử dân dụng như đầu thu kỹ thuật số, máy chơi game PS1/PS2, Nintendo 64. Hiện tại, MIPS đã 

, bị ARM thay thế ở hầu hết phân khúc thiết bị nhúng. Tuy nhiên, cũng như ARM, nó vẫn xuất hiện nhiều trong các bài lab pwnable CTF ở các cuộc thi có nhiều anh chàng “tay to”, nhờ vào hệ sinh thái giả lập dễ dùng, tài liệu đầy đủ và tập lệnh đơn giản, dễ học.

So sánh các kiến trúc ở nhiều khía cạnh đối với người mới học pwnable

 x86/x64 theo kiến trúc CISC có nhiều tập lệnh phức tạp, trong khi đó ARM và MIPS theo kiến trúc RISC thì đơn giản hơn và thường cho hiệu quả năng lượng cao. Tuy nhiên x86/x64 (CISC) đang 

, rất phổ biến nên việc chọn x86/x64 sẽ dễ tiếp cận hơn.

 Trong thực tế, x86/x64 được nghiên cứu rộng rãi nhất. Có vô số tài liệu hướng dẫn và công cụ hỗ trợ x86/x64 (IDA, Ghidra, GDB, radare2, pwntools, pwndbg, gef, peda,…). So với đó, tài liệu về ARM/MIPS có ít hơn. Ví dụ, Slava Moskvin khuyên “nên bắt đầu với x86” vì “có rất nhiều tài liệu và công cụ hỗ trợ nó hơn bất kỳ kiến trúc nào khác”. Ngược lại, học RISC (ARM/MIPS) có thể dễ hiểu về khái niệm tập lệnh, nhưng thực hành exploit trên RISC sẽ khó khăn hơn một chút vì ít được cập nhật tài liệu và các điều kiện hỗ trợ khác.

 Trong thực tế, x86/x64 được ứng dụng trên hầu hết các thiết bị máy tính người dùng phổ thông, cho nên việc nghiên cứu học tập sẽ dễ dàng hơn, dễ debug, giả lập hay ảo hóa,… Do đó việc có sẵn thiết bị sẽ 

 cho người mới học pwnable. Trong khi đối với ARM, MIPS thì sẽ khó khăn hơn vì thiết bị có sẵn môi trường để thực hành thì ít phổ biến và cần phải giả lập bằng các công cụ như Qemu,v.v… Vì vậy ở chiều hướng tiếp dận dễ dàng thì x86/x64 sẽ là lựa chọn phù hợp cho người mới học pwnable

 Hầu hết challenge pwnable (đặc biệt trên Linux) sử dụng x86 hoặc x86-64. Ví dụ, nền tảng CTF như 

, ROP Emporium chủ yếu thực hành lab trên x86/x64. Đối với người mới học pwnable thì có thể bắt đầu từ các lab như 

, HackTheBox,v.v… ARM và MIPS có một số challenges nhưng ít hơn, thường sẽ xuất hiện nhiều trong các cuộc thi CTF về đặc thù IoT/embedded.

 Về lý thuyết, RISC đơn giản hơn nên nếu chỉ học cơ bản thì ARM/MIPS có thể dễ hơn. Tuy nhiên, khi chuyển sang triển khai exploit thực tế, bạn cần nhiều ví dụ, hướng dẫn và 

 thì x86/x64 sẽ cung cấp nhiều hơn và nhiều điều kiện để rèn luyện hơn. Ngoài ra kiến thức trên trường thường đi từ các ngôn ngữ căn bản như C/C++ làm nền tảng phát triển đi lên nên việc tiếp cận x86/x64 sẽ dễ dàng hơn nhiều so với ARM hay MIPS vốn gặp nhiều hạn chế về một số điều kiện và tiêu chí nêu trên.

 Tùy vào mục đích mà bạn hướng tới cũng như thời gian hiện tại mà bạn có để xem xét nên ưu tiên tìm hiểu và tiếp cận kiến trúc nào trước và sau này đi sâu hơn vào nó. Chẳng hạn nếu bạn muốn đi sâu vào hệ thống nhúng, các thiết bị công nghiệp và bạn không có nhiều thời gian, muốn đi nhanh thì có thể nghĩ đến hướng tiếp cận từ ARM/MIPS, hoặc nếu bạn muốn đi sâu vào phân tích mã độc thì x86/x64 là mảnh đất màu mỡ để bạn khai phá và đào sâu thì hướng tiếp cần từ x86/x64 sẽ phù hợp với bạn, sau đó có thể tìm hiểu ARM/MIPS sau nếu bạn còn thời gian và muốn mở rộng thêm

Tài liệu và nguồn học pwnable hiệu quả

Nghệ thuật tận dụng lỗi phần mềm

 (Nguyễn Thành Nam) - tài liệu tiếng việt giải thích về các lỗ hổng cơ bản như buffer overflow, format string,…

 (Jon Erickson) – giải thích sâu về buffer overflow và shellcode trên Linux;

 (Hoglund & Butler) – hướng dẫn phát hiện và khai thác lỗ hổng trên x86;

Computer Systems: A Programmer’s Perspective

 (Bryant & O’Hallaron) – giúp hiểu hệ thống máy tính, bộ nhớ và tương tác C/Assembly;

 – về reversings và exploit. Ngoài ra có nhiều slide, video (ví dụ khóa học x86 của OpenSecurityTraining) và các series blog tutorial về exploit (thường minh họa bằng x86).

 Người mới học pwnable có thể lựa chọn nhiều công cụ hoặc một vài công cụ mình yêu thích để thực hành các bài lab như: 

Công cụ để giả lập: Unicorn, Qemu,…

Thư viện xây dựng exploit: Pwntools

 Các bạn có thể tập luyện trên các nền tảng CTF và wargame để nâng cao kiến thức và kỹ năng bản thân. Đa số các nền tảng đều có challenge từ đơn giản đến nâng cao, chủ yếu là x86/x64 giúp bạn làm quen với pwnable:    

 - Một trang web thực hành lab pwnable do anh em người Việt xây dựng

Tóm lại, mỗi kiến trúc đều có những đặc điểm và những điều kiện tiếp cận khác nhau, có những điều kiện thuận lợi và hạn chế khác nhau, với người mới học pwnable thì nên xem xét các khía cạnh trên và đưa ra hướng đi cho mình tùy vào điều kiện mà bạn đang có và mục đích mà bạn hướng đến.

Học Pwnable thì nên bắt đầu từ kiến trúc nào ?

 Sâu SQL Slammer khét tiếng năm 2003 chỉ có kích thước 

 – toàn bộ mã sâu này vừa đủ nằm gọn trong một gói tin UDP. Mã độc siêu nhỏ này được viết và tối ưu thủ công hoàn toàn bằng Assembly, cho thấy sức mạnh của Assembly trong việc tạo ra các chương trình độc hại tinh vi, nhỏ gọn. Kết quả là Slammer đã bùng nổ lây nhiễm hàng ngàn máy chủ chỉ trong vài phút, trở thành một trong những sâu máy tính lây lan nhanh nhất lịch sử.

 từ lâu đã được coi là “ngôn ngữ của máy tính” – cầu nối gần nhất giữa lập trình viên và phần cứng máy tính. Trong lĩnh vực 

, Assembly đóng vai trò vô cùng quan trọng. Lý do là hầu hết mã độc được phân phối dưới dạng chương trình nhị phân (đã biên dịch), nên chuyên gia phân tích 

 để đọc. Thay vào đó, họ phải dịch ngược chương trình về ngôn ngữ Assembly để hiểu được hành vi của mã độc. Nói cách khác, nếu không có kiến thức Assembly, việc phân tích tĩnh một mẫu malware phức tạp gần như 

. Assembly rõ ràng là một kỹ năng 

 đối với những ai muốn bước vào thế giới phân tích mã độc chuyên sâu.

 ngôn ngữ Assembly là gì, vì sao nó quan trọng trong ngành bảo mật và phân tích mã độc.

 rõ các loại Assembly theo từng kiến trúc CPU (x86/x64, ARM, MIPS) và ứng dụng thực tế.

 vai trò không thể thiếu của Assembly trong quá trình phân tích mã độc và kỹ thuật reverse engineering.

 nguồn tài nguyên và tài liệu học Assembly chất lượng cao dành cho người mới bắt đầu.

 hướng đi và lộ trình nghề nghiệp để tự tin bước chân vào lĩnh vực bảo mật, đặc biệt là phân tích mã độc.

) là ngôn ngữ lập trình cấp thấp được thiết kế để giao tiếp trực tiếp với phần cứng của máy tính. Mỗi chỉ thị (instruction) trong Assembly tương ứng gần như một-một với một mã máy (machine code) cụ thể, do đó mã Assembly phụ thuộc trực tiếp vào kiến trúc phần cứng. Khác với mã máy dạng nhị phân thuần túy khó đọc, Assembly dùng các câu lệnh dạng chữ (ví dụ 

…) giúp con người có thể hiểu được chức năng, nhưng vẫn đòi hỏi kiến thức chi tiết về kiến trúc máy tính để nắm bắt. Nói cách khác, Assembly chính là 

 giữa phần cứng và ngôn ngữ bậc cao như C++, Python hay JavaSript.

 Lập trình Assembly thao tác trực tiếp trên các 

 và địa chỉ bộ nhớ, cho phép truy xuất thẳng tới phần cứng và thiết bị ngoại vi. Ví dụ, thay vì làm việc với biến như ngôn ngữ cấp cao, lập trình viên Assembly sẽ làm việc với các thanh ghi như 

 hoặc địa chỉ bộ nhớ cụ thể.

 Mỗi kiến trúc CPU (x86, ARM, v.v.) có tập lệnh máy riêng, do đó ngôn ngữ Assembly là 

. Code Assembly viết cho CPU x86 sẽ không chạy được trên CPU ARM và ngược lại. Điều này khác với ngôn ngữ bậc cao (C, Java…) có thể viết một lần rồi biên dịch cho nhiều kiến trúc khác nhau.

 Lập trình Assembly cho phép điều khiển tường tận cách thức thực thi của chương trình – từ việc quản lý thanh ghi, tính toán địa chỉ bộ nhớ đến tuần tự thực hiện lệnh nhảy, gọi hàm. Lập trình viên có 

 tối ưu hóa hoặc tinh chỉnh từng bước xử lý của CPU. Chính vì mức độ chi tiết này, mã Assembly thường tối ưu hơn về tốc độ hoặc dung lượng so với mã được biên dịch tự động, nhưng đổi lại đòi hỏi nhiều công sức và kỹ năng của người lập trình.

Tóm lại, Assembly là phiên bản “gần gũi với con người” hơn của ngôn ngữ máy. Mặc dù khó học và khó viết hơn so với ngôn ngữ cấp cao, Assembly trao cho người lập trình 

 đối với phần cứng. Đây chính là nền tảng để các chuyên gia 

 dịch ngược chương trình đã biên dịch về dạng có thể hiểu được, phục vụ cho phân tích mã độc hay nghiên cứu lỗ hổng bảo mật.

 (ví dụ: x86, x64, ARM, MIPS…) có tập lệnh máy riêng, nên cũng có ngôn ngữ Assembly tương ứng. Sự khác biệt chủ yếu nằm ở thiết kế tập lệnh: có kiến trúc dạng CISC (tập lệnh phức tạp) như x86, có kiến trúc dạng RISC (tập lệnh rút gọn) như ARM, MIPS. Dưới đây là phân loại và đặc điểm của Assembly trên một số kiến trúc phổ biến:

 (32-bit) là tập lệnh CISC do Intel giới thiệu từ năm 1978 (với vi xử lý 8086) và đã thống trị thị trường máy tính cá nhân suốt nhiều thập kỷ. Mã Assembly x86 có tập lệnh phong phú, nhiều lệnh phức tạp, thực hiện được các tác vụ cao cấp chỉ trong một chỉ thị. CPU x86 có 8 thanh ghi đa dụng 32-bit (EAX, EBX, ECX, EDX, ESI, EDI, EBP, ESP) và sử dụng mô hình bộ nhớ 

. Assembly x86 thường được dùng cho các chương trình trên hệ điều hành 32-bit như Windows 7 trở về trước hoặc các ứng dụng/virus cũ. Hiện nay, dù hầu hết hệ thống đã chuyển sang 64-bit, Assembly x86 vẫn quan trọng do rất nhiều mã độc và phần mềm vẫn duy trì 

Về môi trường ứng dụng: CPU x86 chủ yếu xuất hiện trong 

 từ những năm 1980-2000. Kiến trúc này đã phát triển qua các thế hệ 80286, 80386, 80486… và được Intel/AMD mở rộng dần, nhưng vẫn giữ khả năng chạy mã 32-bit. Ngày nay, vi xử lý x86 hiện đại có thể thực thi cả mã 32-bit lẫn 64-bit, đảm bảo các phần mềm cũ viết bằng Assembly x86 vẫn có thể chạy trên máy tính mới.

 (còn gọi là x86-64 hoặc AMD64) là phiên bản mở rộng 64-bit của x86, ra đời vào đầu những năm 2000. Assembly x64 thừa hưởng phần lớn tập lệnh từ x86 nhưng bổ sung các khả năng mới: thanh ghi mở rộng lên 64-bit và số lượng thanh ghi nhiều hơn. Cụ thể, x64 mở rộng 8 thanh ghi vạn năng của x86 thành các thanh ghi 64-bit (RAX, RBX, RCX, RDX, RSI, RDI, RBP, RSP) và bổ sung thêm 8 thanh ghi mới (R8–R15). Nhờ đó, lập trình Assembly x64 có thể xử lý lượng dữ liệu lớn hơn trong một lệnh và tối ưu hiệu năng tốt hơn (do có nhiều thanh ghi để sử dụng, giảm truy cập bộ nhớ).

 (Windows 10/11 64-bit, các bản Linux 64-bit, macOS trên chip Intel/AMD) đều chạy trên kiến trúc x64. Assembly x64 trở thành ngôn ngữ quan trọng để phân tích các chương trình malware nhắm vào nền tảng 64-bit. Ví dụ, mã độc ransomware hiện nay thường biên dịch ở dạng 64-bit để tấn công các hệ thống mới. May mắn là kiến thức nền tảng từ Assembly x86 có thể tái sử dụng phần lớn khi chuyển sang x64, chỉ cần lưu ý thêm về thanh ghi mở rộng và khác biệt trong 

 (calling convention) trên từng hệ điều hành.

 là kiến trúc RISC phổ biến nhất trên các thiết bị di động và nhúng. Khác với x86, kiến trúc ARM hướng đến việc 

 nhằm giảm số chu kỳ xung nhịp cần thiết để thực hiện mỗi lệnh. Vì thế mã Assembly ARM có cú pháp gọn gàng, các lệnh có độ dài cố định và thường thực hiện các tác vụ rất đơn giản. CPU ARM có nhiều thanh ghi đa dụng (thường 16 thanh ghi trong chế độ 32-bit ARMv7, và 31 thanh ghi 64-bit trong ARMv8/AArch64).

 và tỏa nhiệt thấp, do đó vi xử lý ARM có mặt ở hầu hết smartphone, máy tính bảng, thiết bị IoT, smart TV, và thậm chí cả máy chủ tiết kiệm năng lượng. Trong vài năm gần đây, ARM còn lấn sân sang máy tính để bàn (ví dụ: chip Apple M1/M2 sử dụng kiến trúc ARM64).

Assembly ARM trong phân tích mã độc trở nên quan trọng vì nhiều malware nhắm mục tiêu 

 sử dụng vi xử lý ARM. Ví dụ, khi phân tích một trojan trên Android, chuyên gia phải đọc mã assembly ARM (hoặc ARM64) để hiểu cách nó thực hiện jailbreak điện thoại hay đánh cắp dữ liệu. Tương tự, các botnet IoT (Mirai, VPNFilter…) thường chứa payload là mã nhị phân ARM, MIPS – người phân tích phải thành thạo assembly các kiến trúc này mới có thể dịch ngược và triệt phá chúng.

 cũng là một kiến trúc RISC từng rất phổ biến, đặc biệt trong các thiết bị mạng và hệ thống nhúng những năm 1990-2000. CPU MIPS có tập lệnh đơn giản, hướng tới hiệu năng cao trên mỗi watt điện tiêu thụ. Trước đây, MIPS từng được dùng trong một số dòng máy workstation, console game và bộ định tuyến (router). Tuy nhiên, theo thời gian, MIPS dần bị thay thế bởi x86 (trên PC) và ARM (trên thiết bị di động, nhúng) trong các thị trường chính. Hiện nay, MIPS vẫn tồn tại trong một số thiết bị chuyên dụng yêu cầu 

 hoặc hệ thống nhúng công nghiệp, với lợi thế đơn giản và hiệu quả của nó.

Assembly MIPS có số lượng thanh ghi cố định (32 thanh ghi tổng quát, mỗi thanh ghi 32-bit trên MIPS32), độ dài lệnh cố định 32-bit, mọi thao tác với bộ nhớ phải thông qua thanh ghi (kiến trúc load-store). Điều này khiến mã Assembly MIPS khá dễ đọc vì cú pháp nhất quán, nhưng cũng đòi hỏi nhiều lệnh hơn để thực hiện một nhiệm vụ phức tạp (so với x86).

Trong lĩnh vực phân tích mã độc, Assembly MIPS thường xuất hiện khi phân tích malware tấn công các 

bộ định tuyến, thiết bị mạng hoặc camera IP

… Chẳng hạn, nhiều biến thể malware nhắm vào router (như một số bản của Mirai botnet) có sẵn phiên bản biên dịch cho MIPS. Do đó, bạn cũng cần trang bị kiến thức Assembly MIPS để không bị “bó tay” trước những mẫu mã độc trên nền tảng này.

 Mỗi kiến trúc (x86, x64, ARM, MIPS…) có 

. Với x86 là CISC truyền thống trên PC, x64 là mở rộng 64-bit của x86 trên các hệ thống hiện đại, ARM/MIPS là RISC trên thiết bị di động, thiết bị nhúng với ưu điểm về hiệu năng trên watt điện tiêu thụ. Khi phân tích mã độc, người làm reverse engineering cần xác định kiến trúc mục tiêu của mẫu malware (dựa trên định dạng file và dấu hiệu CPU) để lựa chọn công cụ và phương pháp phù hợp. Việc thành thạo nhiều loại Assembly giúp chuyên gia có 

 vì mã độc ngày nay có thể nhắm tới nhiều nền tảng đa dạng.

Tầm quan trọng của Assembly trong phân tích mã độc

Trong quy trình phân tích mã độc, hiểu biết về Assembly được ứng dụng ở 

: phân tích tĩnh và phân tích động. Dưới đây, chúng ta sẽ xem xét vai trò của Assembly trong từng giai đoạn, cùng các công cụ hỗ trợ.

. Mục tiêu là dịch ngược file nhị phân của malware để hiểu cấu trúc và logic bên trong. Ở bước này, ngôn ngữ Assembly chính là “ngôn ngữ đích” mà chúng ta cần chuyển mã độc sang để đọc hiểu.

Quá trình thường bắt đầu bằng 

 – chuyển mã máy của chương trình độc hại về dạng mã Assembly tương ứng. Các công cụ hàng đầu như 

 được sử dụng để thực hiện disassemble giúp cho chúng ta có thể đọc và phân tích dễ dàng hơn. Kết quả thu được là danh sách các lệnh Assembly mô tả những gì malware sẽ thực thi, từ đó chuyên gia có thể lần theo luồng xử lý của chương trình.

Khi đã có mã Assembly của malware, chuyên gia phân tích sẽ tìm kiếm các 

 đáng ngờ. Ví dụ: xem các lệnh gọi hàm API (như gọi 

 trên Linux), kiểm tra các chuỗi ký tự (URL, khóa giải mã, v.v.), và phân tích 

 (Control Flow Graph) của chương trình để hiểu cấu trúc rẽ nhánh, vòng lặp. Tất cả những việc này đòi hỏi kỹ năng đọc hiểu Assembly thành thạo. Trên thực tế, 

phân tích tĩnh thường không thể hiệu quả nếu thiếu kiến thức Assembly

 bởi mã độc thường được viết bằng C/C++ và biên dịch – do đó muốn hiểu được thì phải “đọc” được phần Assembly dịch ngược.

mọi malware phức tạp cuối cùng đều phải phân tích ở mức Assembly

. Dù có những máy decompiler tạo ra mã giả C, nhưng các chuyên gia vẫn phải kiểm chứng lại bằng Assembly để không bỏ sót chi tiết. Do đó, trong phân tích tĩnh malware, Assembly là ngôn ngữ “hậu trường” quyết định thành công của quá trình reverse engineering.

 là quá trình cho chạy mẫu malware trong môi trường an toàn (sandbox hoặc máy ảo) để quan sát 

 của nó. Nếu phân tích tĩnh cho ta cái nhìn về tổng quan các thành phần, thì phân tích động cho biết malware 

 khi chạy. Ở bước này, Assembly tiếp tục phát huy vai trò khi sử dụng các công cụ debug để theo dõi từng lệnh của malware trong thời gian thực.

 hỗ trợ trong việc debug phổ biến như x64dbg trên Windows hoặc GDB trên Linux cho phép thực thi chương trình mã độc 

, cho thấy chính xác tại mỗi thời điểm malware đang làm gì – ghi gì vào thanh ghi, gọi hàm nào, truy cập địa chỉ bộ nhớ nào. Thông qua giao diện debugger, bạn có thể quan sát được mã Assembly của malware khi nó chạy, có thể đặt breakpoint tại các lệnh nghi vấn để dừng chương trình và kiểm tra trạng thái bên trong. Đây là cách hiệu quả để tìm ra 

, đặc biệt khi malware có cơ chế tự mã hóa hoặc đóng gói.

Chẳng hạn, nhiều malware hiện đại sử dụng 

 – chúng mã hóa chính bản thân mình và chỉ giải mã khi chạy. Phân tích tĩnh thuần túy sẽ thấy một khối lệnh khó hiểu. Lúc này, phân tích viên phải dùng kỹ thuật 

: chạy malware trong debugger tới điểm ngay sau khi giải mã xong, rồi 

 phần mã đã giải mã ra để phân tích tiếp. Việc unpack thủ công này yêu cầu hiểu rõ trình tự lệnh Assembly và định dạng file (PE trên Windows, ELF trên Linux). Một lần nữa, kỹ năng Assembly lại quyết định việc chuyên gia có tách được lớp vỏ ngụy trang của malware hay không.

Bên cạnh debug từng lệnh, phân tích động còn bao gồm 

 mà malware thực hiện. Điều này có thể làm song song khi debug hoặc bằng các công cụ sandbox tự động. Các hoạt động thường được theo dõi gồm: 

các lời gọi hệ thống (system calls)

 như tạo/xóa file, mở kết nối mạng, chỉnh sửa registry,…. Chẳng hạn, trên môi trường Linux có thể dùng 

 để thấy chuỗi syscall của malware, còn trên Windows có thể dùng 

 để ghi lại mọi hành động đọc/ghi tập tin, khóa registry, tiến trình con… Kết hợp thông tin này với việc quan sát mã Assembly trong debugger, bạn sẽ xác định được 

 của malware (ví dụ: nếu thấy malware gọi 

 ghi ra một file .dll nghi ngờ, ta dừng tại lệnh đó và phân tích đoạn Assembly xung quanh để hiểu dữ liệu nào đang được ghi).

 những gì thu được từ phân tích tĩnh. Nhưng để làm chủ phân tích động, người nghiên cứu mã độc vẫn phải dựa vào Assembly: từ việc đặt breakpoint đúng chỗ, phân tích 

 của malware, đến việc hiệu chỉnh thanh ghi hoặc dòng thực thi để bỏ qua một số chức năng phá hoại. Nhờ kết hợp khả năng quan sát khi debug Assembly và qua log hành vi, chúng ta sẽ có được bức tranh đầy đủ về malware.

Tag: Reverse Engineer