Từ 'Thám tử Mạng' Cáu Kỉnh Đến 'Phù Thủy Code' Năng Suất: Hành trình tự động hóa nỗi đau lớn nhất trong ngành an ninh mạng

Lê Lân

14/06/2025

Từ Pentester Chán Nản Đến Nhà Phát Triển Hiệu Quả: Hành Trình Tự Động Hóa Công Việc An Ninh Mạng Đáng Ghét Nhất

Mở Đầu

Bạn có từng trải qua cảm giác mãn nguyện sau khi chinh phục một máy CTF khó nhằn, chỉ để rồi cảm thấy chán nản khi phải ngồi làm phần tài liệu? Nếu đúng, bạn không đơn độc!

Hành trình của một pentester hay người tham gia các cuộc thi CTF (Capture The Flag) thường kết thúc không phải lúc vui vẻ nhất, mà là lúc phải dành hàng giờ đồng hồ để viết tài liệu chi tiết. Công việc này vừa mất thời gian lại gây nhàm chán, ảnh hưởng đến hiệu suất làm việc cũng như tinh thần của người làm an ninh mạng. Từ chính nỗi khổ này, tôi đã quyết định xây dựng một giải pháp tự động hóa, giúp công việc ghi chép và báo cáo trở nên nhanh chóng và chuyên nghiệp hơn rất nhiều.

Bài viết này sẽ dẫn bạn khám phá câu chuyện của tôi, từ những khó khăn ban đầu, quyết định kỹ thuật, các tính năng nổi bật, đến bài học công nghệ và tầm ảnh hưởng thực tế của dự án mang tên CTF Write-up Builder.

Vấn Đề Khiến Tôi Phát Điên Với Công Việc Pentesting

Thực Tế Của Một Phiên CTF

Sau khi dành 6 tiếng liên tục vượt qua thử thách trên HackTheBox, bạn có thể:

Tìm được điểm xâm nhập ban đầu (initial foothold)

Tăng quyền truy cập (privilege escalation)

Thu thập toàn bộ flag và học được kỹ thuật mới

Nhưng phần tôi ghét nhất luôn là viết tài liệu chi tiết cho quá trình này.

Những Khó Khăn Khi Viết Tài Liệu

Mở Google Docs nhiều lần gây mất tập trung

Copy/paste các dòng lệnh thường bị lỗi định dạng

Sắp xếp ảnh chụp màn hình từ nhiều thư mục khác nhau

Vật lộn với bảng biểu, danh sách bullet points lộn xộn

Dành hơn 2 giờ cho tài liệu trong khi chỉ tốn 6 giờ để “hack”

Sau nhiều năm, tôi nhận ra mình đang bỏ ra khoảng 30% thời gian CTF cho phần viết báo cáo. Đây chính là lý do tôi quyết định tự tạo công cụ hỗ trợ.

Giới Thiệu CTF Write-up Builder

Công Cụ Tôi Xây Dựng

Một ứng dụng web chuyên biệt, giúp chuyển đổi việc viết tài liệu CTF từ “gánh nặng” thành quá trình làm việc nhanh, dễ dàng và chuyên nghiệp.

Công Nghệ Sử Dụng

Next.js 14 (App Router)

TypeScript

Tailwind CSS

Tích hợp AI (Gemini/ChatGPT APIs)

Lưu trữ địa phương (local storage) để bảo mật dữ liệu

Trải Nghiệm Thực Tế

Truy cập bản demo: ctf-writeup-builder.vercel.app

Mã nguồn GitHub: github.com/ilanami/ctf_writeup_builder

Hành Trình Kỹ Thuật

Lựa Chọn Kiến Trúc

Tại Sao Chọn Next.js?

Hỗ trợ gọi API AI ngay trên client, đảm bảo bảo mật tối đa

Xử lý file ảnh và xuất tài liệu linh hoạt

Thiết kế responsive cho cả mobile

Triển khai nhanh, hiệu suất cao

Triết Lý Phát Triển Bảo Mật Quyền Riêng Tư

Mọi xử lý đều chạy ngay trên trình duyệt, không trung gian server lưu trữ nội dung bạn ghi chép. Chỉ các cuộc gọi API AI được thực hiện trực tiếp từ trình duyệt để tăng tính bảo mật.

Các Tính Năng Giải Quyết Đau Đầu

🤖 AI Giúp Viết Nội Dung

Thay vì nhìn trang trắng trống rỗng, bạn chỉ cần mô tả ngắn gọn:

"nmap show SSH và HTTP, tìm được admin panel"

AI sẽ gợi ý:

Nội dung có cấu trúc

Những bước khảo sát phổ biến

Kế hoạch tiến hành tiếp theo

📝 Mẫu Báo Cáo Có Sẵn

Các phần được xây dựng theo quy trình pentesting chuẩn:

Khảo sát ban đầu (Reconnaissance)

Liệt kê dịch vụ (Service Enumeration)

Phân tích ứng dụng web

Khai thác lỗ hổng (Exploitation)

Tăng quyền (Privilege Escalation)

Bài học rút ra (Lessons Learned)

📸 Quản Lý Ảnh Kéo Thả

Ảnh chụp màn hình tự động phân loại theo từng phần

Không còn lo sắp xếp nhầm lẫn hay tìm mãi không ra ảnh

📄 Xuất PDF Chuyên Nghiệp

Tạo file PDF gọn đẹp, phù hợp làm hồ sơ phỏng vấn, báo cáo khách hàng hay lưu trữ cá nhân

Tính năng	Mô tả
AI Content	Hỗ trợ viết content tự động, giảm thời gian soạn thảo
Mẫu cấu trúc	Đảm bảo tài liệu nhất quán, theo chuẩn pentesting
Ảnh tự động sắp xếp	Giải phóng người dùng khỏi việc quản lý tập tin lộn xộn
PDF xuất file	Tài liệu cuối cùng sạch đẹp, dễ dàng trình bày và chia sẻ

Quá Trình Phát Triển Và Thử Thách

Các Khó Khăn Đã Gặp

Tích hợp AI phức tạp Ban đầu gọi API AI trên server, nhưng phải chuyển sang client để bảo mật, đồng thời quản lý khoá API an toàn.

Xử lý file trong trình duyệt Browser API về file khá hạn chế, cần làm drag&drop, validate file và hiện preview một cách mượt mà.

Xuất PDF tối ưu Cân bằng kích thước file và chất lượng ảnh mất nhiều lần thử nghiệm, cuối cùng dùng jsPDF kết hợp nén ảnh riêng.

Kiến Trúc Code

Editor: Markdown với chế độ xem trước live

Templates: Mẫu báo cáo từng phần pentesting

AI Integration: Tạo nội dung thông minh

Export: Xuất PDF và Markdown

Quản lý trạng thái: React state + custom hooks cho lưu trữ địa phương

Ảnh Hưởng Trong Thực Tế

Tiêu chí	Trước khi dùng	Sau khi dùng
Thời gian viết báo cáo	2+ giờ	~30 phút
Tính nhất quán	Không đồng bộ	Đồng bộ chuyên nghiệp
Chất lượng báo cáo	Thường sót bước	AI giúp không bỏ sót

Hành trình này đã giúp tôi biến phần việc bị ghét nhất thành một trải nghiệm làm việc đầy hứng khởi và hiệu quả.

Bài Học Kỹ Thuật Rút Ra

1. Phát Triển Ưu Tiên Bảo Mật

Xây dựng mọi thứ trên client-side giúp tăng sự tin tưởng người dùng. Nhưng đổi lại, bạn sẽ học được sâu về cách quản lý dữ liệu tại trình duyệt.

2. Thực Hành Tích Hợp AI

Luôn để AI là tính năng tuỳ chọn

Chuẩn bị phương án dự phòng khi API không phản hồi

Cho phép người dùng cung cấp API key riêng

Thiết kế prompt tạo nội dung hợp lý với nhiều mô hình AI khác nhau

3. Trải Nghiệm Người Dùng Cho Công Cụ Chuyên Biệt

Tài liệu cho CTF hay pentesting rất khác biệt so với công việc văn phòng thông thường. Việc phát triển công cụ chuyên biệt giúp đưa ra các quyết định UX tối ưu hơn.

Những Định Hướng Tiếp Theo

Phát triển mẫu theo từng thể loại CTF: Web, PWN, Crypto, v.v.

Tích hợp API kết nối trực tiếp đến HackTheBox, TryHackMe

Hỗ trợ làm việc nhóm: chia sẻ báo cáo trong red team exercises

Gửi Gắm Đến Cộng Đồng Phát Triển Phần Mềm

Mã nguồn của dự án hoàn toàn mở, bạn có thể đóng góp thêm:

Định dạng xuất báo cáo mới

Tích hợp nhà cung cấp AI khác

Tối ưu hiệu năng và trải nghiệm người dùng

Mời Bạn Thử Nghiệm

Dùng thử tại: ctf-writeup-builder.vercel.app

Không cần đăng ký

Hoạt động hoàn toàn trên trình duyệt

Thử AI với API key cá nhân

Bạn có thể tự hỏi:

Bạn gặp những khó khăn gì trong việc viết tài liệu ở lĩnh vực của mình?

Làm thế nào để cân bằng việc xử lý ứng dụng local-first với việc gọi API bên ngoài?

Các tính năng nào sẽ làm công cụ này hữu ích hơn với công việc của bạn?

Xây dựng công cụ để giải quyết vấn đề của chính mình là một hành trình đầy thử thách nhưng vô cùng xứng đáng và tạo ra giá trị thực sự.

Tham Khảo

Next.js Documentation - nextjs.org/docs

GPT API Reference - openai.com/api

jsPDF Library - parall.ax/products/jspdf

Hack The Box - hackthebox.eu

TryHackMe - tryhackme.com

Research on Privacy-First Web Apps (2023)

UX Insights for Cybersecurity Tools (2022)