Chào HVAs !

Mình đang bắt đầu nghiên cứu về mảng Web App Security. Với những bạn đi trước, đã có kinh nghiệm trong mảng này, mình muốn hỏi là theo ý kiến (chủ quan) của các bạn, lộ trình và quy trình nghiên cứu trong mảng này nên là như thế nào để có thể nắm vững kiến thức và tiến xa trong mảng (Web App Security) này ?

Một vấn đề nữa là nguồn tài liệu học tập và tham khảo về mảng này khá nhiều nguồn, các bạn có thể chọn giúp mình một số tài liệu cần thiết và bổ ích, phục vụ cho công việc nghiên cứu và tìm hiểu mảng này được chứ ?

Welcome all your replies !

 

@conmale: em có một thắc mắc chi tiết nhỏ hơn mong anh giải đáp giúp, đó là về mã nguồn của Web App. Theo anh thì ngoài yếu tố con người - lập trình viên,thiết kế của sản phẩm, thì ngôn ngữ lập trình có ảnh hưởng đến hiệu suất, sự bền bỉ và tính bảo mật của Web App đó không?

Ví dụ như trong trường hợp cụ thể là em dự định học PHP, tuy nhiên khi tham vấn ý kiến một ông bạn có kinh nghiệm hơn thì lại nhận được câu trả lời không nên học ngôn ngữ này. Theo lý lẽ của người này đưa ra là PHP không tồi nhưng do ngôn ngữ này quá thoải mái, quá nhiều lựa chọn nên dễ dẫn đến sự tự do đến cẩu thả của lập trình viên.

Ông bạn này tiếp tục đưa ra sự khẳng định theo rất nhiều bài viết thì tỉ lệ rất lớn các sản phẩm được code bằng PHP có mã rất lung tung. Theo câu trích dẫn mà ông bạn em đưa ra là "Spaghetti SQL wrapped in spaghetti PHP wrapped in spaghetti HTML".

Điều này đúng sự thực không hả anh?

Do ông ý đã biết ở trường em được dạy C/C++ nên khuyên có thể học Java hoặc Python để hiểu rõ thêm về những gì được dạy ở hai ngôn ngữ đã học đồng thời cũng là nền tảng phát triển web tốt hơn.

Theo anh điều này có hợp lý?
 

Mình đang bắt đầu nghiên cứu về mảng Web App Security. Với những bạn đi trước, đã có kinh nghiệm trong mảng này, mình muốn hỏi là theo ý kiến (chủ quan) của các bạn, lộ trình và quy trình nghiên cứu trong mảng này nên là như thế nào để có thể nắm vững kiến thức và tiến xa trong mảng (Web App Security) này ?  

Hè, nhưng mà em vẫn có vài thắc mắc, mà xem ra anh không ngại làm bác sĩ "hoa súng" về kiến thức kỹ thuật nên em sẽ "lợi dụng" "hành" tiếp. Còn nếu anh conmale bận thì em cũng mong nhận được ý kiến về vấn đề này từ cả các anh (chị) khác.

Như anh nói ở bài trên thì mỗi ngôn ngữ, tuỳ theo đặc điểm của nó mà có đảm bào được tính "nguyên thuỷ" của dữ liệu qua quá trình nhập/xuất hay không.

Nghĩa là người lập trình viên khi làm việc với một ngôn ngữ cần phải hiểu thật sự rõ về nó cũng như phải tìm hiểu thêm một đến vài ngôn ngữ có khả năng thực hiện công việc trong lãnh vực liên quan mới có thể so sánh và nắm được điểm mạnh, yếu ngôn ngữ mà mình đang dùng trong việc đảm bảo tính "nguyên thuỷ" của dữ liệu . Từ đó mới có thể tính đến việc Security cho Web App của mình ở bên lập trình.

Như vậy công việc chỉ xét đến một nhánh thiết kế và mã nguồn của Web App cũng đã gần như vô tận cho việc học. Và thực tế điều này cũng đưa em đến một nhận xét là những tài liệu về vấn đề để bắt đầu cho tiến trình Security cho Web App như ở trên đến từ những tài liệu đơn giản nhất là làm quen với PHP hay Java. Rồi sau đó làm dần dần với nhu cầu phát sinh trong quá trình làm việc với ngôn ngữ này khi phát triển Web App sẽ tự tìm thấy những điều "mà mình cần".

Theo anh cái nhận xét này của em có đúng không?
 

Về nhánh cơ sở hạ tầng em không hiểu rõ lắm do ít tìm hiểu hơn. Tuy nhiên cũng theo trên và bài trả lời đầu tiên của anh cũng cho thấy đây là một mảng không hề nhỏ. Và em cũng nghĩ câu hỏi về tài liệu căn bản của bạn sharigan_taka vẫn sẽ là những tài liệu đơn giản nhất, ví dụ "cài Lamp xong thì làm sao cho nó chạy CGI", trước khi nghĩ đến cái xa hơn.



Điều này khiến em đưa đến kết luận cũng như phát sinh câu hỏi thứ hai. Theo em thì sẽ rất khó để một người có thể hiểu rõ cả hai nhánh này trong khoảng thời gian ngắn. Ví dụ như em là sinh viên đầu năm 3, trường em dạy 4 năm, vậy là trong 2 năm cuối này nội việc tìm hiểu về lập trình Web App cũng chưa chắc nên cơm cháo chứ chưa kể ôm đồm cả hai hướng.Nhưng em nghĩ là với những anh đã có kinh nghiệm vài chục năm có lẽ có thể làm được việc này.


Vây trong thực tế công việc các công ty thường ưa thích Security cho Web App trên cơ sở là team work mỗi người nghiên cứu chuyên sâu một hướng rồi kết hợp với nhau hay là những người có khả năng hiểu biết cả hai và làm tất cả?
 

Và khi ra đi làm (do em là sinh viên nên em cũng chỉ giả định theo hiểu biết của em) em nghĩ sẽ có nhiều việc ảnh hưởng đến sự nghiệp của em và lúc đó có lẽ công việc nó sẽ yêu cầu mình cần học tiếp những gì, ví dụ em đi làm thêm bồi bàn hồi hè sau đó được chuyển sang thu ngân thế là phải học cách điền sổ sách trong khi vốn lúc đầu dự định đi làm thêm là để có chút ít thu nhập và tăng khả năng giao tiếp.

Mình đang bắt đầu nghiên cứu về mảng Web App Security. Với những bạn đi trước, đã có kinh nghiệm trong mảng này, mình muốn hỏi là theo ý kiến (chủ quan) của các bạn, lộ trình và quy trình nghiên cứu trong mảng này nên là như thế nào để có thể nắm vững kiến thức và tiến xa trong mảng (Web App Security) này ?  

Như vậy phải chăng sẽ khó hoặc thậm chí gần như không thể có được một lộ trình và quy trình "chuẩn" cho tất thảy mọi người để có thể dẫn đến tiến xa trong mảng (Web App Security) này?
 

Học và hiểu cái "what" ---> đào sâu đến "why" --> áp dụng --> phát triển --> mở rộng --> sáng tạo cái mới.