Đây có lẽ là bài viết dở hơi nhất của tôi từ trước tới nay. Cơ mà không sao? thỉnh thoảng dở hơi chút có chết ai? Bài này tôi sẽ nói đôi chút về tools/toys mà tôi hay sử dụng kiểu sở thích cá nhân đó. Các ae đọc bài này có tools/toys gì hay thì cũng share cho tôi với nha.

way

1. Keepass

Tôi hay thấy nhiều a/e lưu mật khẩu ra windows note, notepad++ cá biệt có nhiều ae lưu mật khẩu ra word. Và tôi cũng được nghe đội pentest bên tôi dễ dàng chui vào máy quản trị viên ngoài giờ sử dụng remote desktop/remote tools và chả cần làm gì phức tạp ngoại trừ đọc mấy cái note/word file kia để lấy mật khẩu và chui vào server một cách ngon lành =)). Buồn cười hơn tôi thỉnh thoảng còn quên cả mật khẩu đăng nhập vào email, mk quản trị AD nếu lâu lâu tôi không vào toàn phải nhờ reset =)). Làm sao trách được tôi có quá nhiều mật khẩu (vì mk của tôi ít khi giống nhau) và hơn thế khi c/s có quá nhiều thứ phải làm phải nhớ mà bộ nhớ não tôi có hạn =)). Đó là khi tôi nghĩ tôi cần 1 password management sofware :). Và tôi hay dùng keepass.

keepass1

Keepass cho phép tôi lưu mật khẩu, đương nhiên mật khẩu này được encrypt bằng một master password (hoặc master password + keyfile) với 1 giải thuật rất mạnh nên ngay cả khi lấy được db file trên ổ cứng mà không có master password (keyfile) thì cũng chịu.

keepass2

Mật khẩu được tổ chức thành các category khá gọn gàng ;) Dĩ nhiên nếu người sử dụng lưu khoa học và gọn gàng :v Và tôi vốn không phải là người gọn gàng và khoa học.

keepass3

Ngoài ra keepass còn có tính năng sinh mật khẩu khá hay ho. Người dùng có thể lựa chọn độ dài, độ phức tạp của mật khẩu rồi nó tự sinh khỏi phải suy nghĩ. Qua khách hàng tôi thấy nhiều ae hài vãi sử dụng mấy tool sinh mật khẩu online rồi sử dụng =)) tác hại khôn lường, hỏi tại sao hash khi bị lộ dễ bị dò password.

keepass4

Keepass cũng có tính năng tự động clean clipboard trong mem sau 1 khoảng thời gian hoặc số lần sử dụng :) tránh bị dump.

keepass5

Tôi cũng hay có thói quen set time idle cho keepass tự động lock sau 1 thời gian không dùng. Vì tôi vẫn không thể nào quên được có lần tôi đã phải change tất cả các tài khoản vì lúc ra về ngỡ là đã khóa màn hình mà không khóa. Keepass vẫn opened. Tôi cẩn thận không ae ???

keepass5

Tôi tính tính năng auto fill bằng tổ hợp phím ctrl + v vào input file dựa trên dấu tab.

Cộng đồng keepass cũng không quên phát triển thêm cả đống plugin để cho ae xài với vô vàn tính nắng amz.

keepass6

2. XShell-Xftp (burp suite)

Trước tôi hay dùng mRemote để quản lý phiên remote (ssh/remotedesktop). mRemote hoàn toàn free và cũng khá ngon. Sau 1 t/g ngắn dùng mRemote không xài windows nữa thì tôi chuyển sang dùng ubuntu, tôi hay dùng remoteNG. Nhìn ở góc độ ngon/bổ/rẻ thì tôi thấy 2 tool mRemote và mRemoteNG đúng là đáp ứng y/c rồi.

mremote

Sang cty mới ae hay dùng Xshell-Xftp. So với 2 tool mRemote và mRemoteNG tôi thấy tool này ngon hơn khá nhiều. Vài tính năng hay ho như sau.

xshell

  • Vài tính năng cơ bản kiểu sử dụng authen method pass/key đương nhiên được support rồi. Ko những thé kể cả extends authen field kiểu otp cũng được support nhiệt tình.
  • Tạo tunnel cực nhanh, đủ kiểu. Với tunnel thì giúp ae bypass được kha khá trường hợp đặc biệt những nơi network policy bị chặn cực mạnh và internet nghèo nàn. xshell với burp suite tạo proxy sẽ đưa ae tới mọi miền tổ quốc vươt qua những giới hạn bt.
  • Có khả năng duplicate session :) khôn phải re-authen.
  • Tạo gui SFTP chỉ bằng 1 cú click. Tự động khởi động XFtp tool bằng GUI để ae chuyển file dễ dàng =))

xftp

  • Có khả năng log output/command của sesion ra file :) text.
  • Put một command vào một nhóm cửa sổ …
  • Cho phép locksceen và set master password để encrypt passwor được lưu ở xshell. Tránh việc password được lưu dạng plain text dễ bị đánh cắp :) ….. Nói chung là khá nhiều tính năng hay ho nữa. Khiến Xshell và XFtp làm người dùng phê cực mạnh.

Tools này có 2 bản Enterprise và School (Free). Nói chung bản Free là đủ dùng rồi. Update gần đây thì bản free bị giới hạn 4 tab trên 1 windows nhưng sau thấy người dùng ít hẳn thế là nó lại không giới hạn số tab nữa =)). Đậu người dùng khôn thế k0 biết :)

3. zimwiki

Một dòng lệnh dài sử dụng nhiều lần, một vài chú ý khi làm cái lọ cái chai, … bạn có hay note không? Nhiều bạn note ra text file bằng notepad++. Nhiều bạn note ra word. Trước đây tôi cũng vậy cơ mà giờ thì không thế. Tôi sử dụng zim wiki.

zimwiki

ZimWiki có cả trên windows và linux. Có khả nhiều tính năng hay ho như

  • Quick search: search rất nhanh vì được index cực mạnh.
  • Support nhiều nền tảng. Đương nhiên hỗ trợ import/export để chạy trên nhiều nền tảng :)
  • Hỗ trợ tổ chức dữ liệu note thành các category một cách khoa học. Hỗ trợ text format. Các định dạng kiểu list, checkbox, .. hỗ trợ tag.
  • Một tính năng kỳ dị là cho cả attach file vô note =))
  • Zimwiki còn có thể start một simple web server để ae có thể truy cập qua browser local hoặc chia sẻ cho người khác qua net.
  • Và còn cả đống plugin. Nếu bạn muốn thì bạn cũng có thể viết plugin cho nó :)

Và quan trọng nó hoàn toàn free ae ạ. Link không che ở đây

4. tmux

tmux

Khi ae chạy 1 command hoặc 1 job dài (ví dụ copy large folder hay backupdb) chạy được nửa chừng mà bỗng dưng phiên ssh đứt vì lý do nào đó (có đứa đá vào dây mạng hay mất điện) thì quá ư là bực mình. Do vậy tôi nghĩ ae nên dùng thói quen xài 1 cái terminal multiplexerkiểu screen hay tmux. Tôi thì hay xài tmux. Ở repo thì người ta giới thiệu là

tmux is a terminal multiplexer. It lets you switch easily between several programs in one terminal, detach them (they keep running in the background) and reattach them to a different terminal. And do a lot more. See the tmux(1) manual page and the README.

Tmux có nhiều tính năng nhưng tôi không nói đâu. Ae thử tìm hiểu xem nha vì nay tôi mỏi tay quá rồi :)

Nhiều ae hay custome tmux nhưng tôi thì tôi hay xài default ae ạ. Đơn giản vì tôi cứ muốn cài lên là xài ngay khỏi phải suy nghĩ cấu hình gì đau đầu lắm. Tôi vốn lười từ bé rồi.

5. Zero bin

Project trên github: Link full không che

Bên ngoài tôi thấy mọi người hay dùng paste bin để share các đoạn code nhỏ hoặc file cấu hình vì nó vẫn giữ nguyên được format khi share. Kể ra private có cái kiểu đó thì cũng tốt nhở???. Trong công ty tôi thấy mọi người hay gửi private info (Eg:password, token, barecode) qua email hoặc chat channel (openfire, rocketchat, email), tiện thật sự mà cũng nguy hiểm thật sự khi acc bị lộ :) hoặc cái server bị hack mất cmn database/mailbox. Sang k/h tôi thấy người ta đã phải force reset toàn 2FA Auth chỉ vì bare code gửi qua email và lo lắng email thể đã bị lộ mật khẩu dẫn tới mấy thông tin kia cũng không còn thực sự an toàn :). Và tôi nghĩ Project Zero bin giải quyết được khơ khớ các nguy cơ kia, giúp ae thỏa mãn vô số thứ.

pastbin

Zerobin giảm thiểu nguy cơ tôi trình bày trên bằng 2 cơ chế

  • Có thể set expire time cho thông tin trao đổi. Expire time có thể là 5, 10, .. hoặc xóa ngay sau khi bên nhận được view thông tin. Việc này thực sự có giá trị khi account bị lộ thì kẻ xấu cũng không có được thông tin ta đã trao đổi trước đó :) qua zerobin vì nó đã bị expire và bị xóa rồi còn đâu. Trường hợp có kẻ “Nghe lén” đọc trước thì ta cũng dễ dàng phát hiện ra bằng việc chọn option expire sau khi view, cứ link ko coi được là nó đã bị mở bởi người/tool thứ 3 rồi.

  • Zero bin dùng AES để encrypt message khiến người ở giữa cũng không thể đọc được. AES mà không an toàn thì còn vô số thứ không an toàn :)

Khi bạn paste nội dung,

paste

Khi người nhận được mở link để đọc thông tin,

open

Ngoài ra còn mấy tính năng hay ho kiểu như giúp giữ được format code, đôi khi còn có màu mè code format khá là cool.

Túm lại tôi nghĩ Zero bin là một tool hay mà các bạn nên thử xài, tôi nghĩ ae sẽ thích.

…. Bài viết sẽ còn dài đến khi tôi rảnh và dỗi hơi viết tiếp =))