Đánh nhau ở Hạ Long - Andy Koi

Cái này chôm từ blog của Công Tử Bạc Liêu, chết cười ...

Sáng 30/4, phi đội tập kết tại nhà ku NDM hừng hực khí thế lên đường. Bạn Na ở dưới nhà ơi ới gọi điện lên, đi đê đi đê.. Kòi với Neo ngay lập tức kéo khóa quần, ngó sang phía ku NDM vẫn đang nude, Kòi bảo "Ơ, đi nào!", NDM mặt buồn rười rượi nói vừa đủ nghe "Đéo đi" .

Kòi với Neo giật thót mình quát nhặng lên "Điên, đm, đi đê, dở hơi à", NDM vẫn tiếp tục ngồi ôm đầu gối kiên quyết "Đéo đi, huhu?!". Lộn hết cả ruột, mấy anh em phải chơi bài cùn "Đéo đi thì thôi, ở nhà hết", NDM mặt không đổi sắc thở nhẹ "Ừ, thế ngủ tiếp đây!!!" (chán hẳn ).

Vậy là vẫn theo chương trình được lên dây cót sẵn, bạn Kòi, bạn Neo và bạn Na cặm cụi đóng xe về miền đất hứa, nơi trời và đất giao hòa, có tiếng sóng biển du dương với ánh nắng chan chứa tình yêu trai gái. Neo và Na nhìn nhau cười e lệ .

Xe dừng lại ở cổng khách sạn Asean, không có nhân viên mở cửa, 3 thằng lì luôn, không ra, xem chúng mày làm gì nhau. Lúc sau có một em chân dài nhưng tất cả các thứ còn lại đều ngắn lon ton chạy ra vỗ vỗ vào kính xe "Anh oy, xe gửi dưới hầm mà anh oy!". Ơ tổ sư, biết các bố đã chịu ở đây hay chưa mà bảo bố gửi xe, cơm tù nghe nhiều rồi còn khách sạn tù mới lần đầu thôi.

Bạn Kòi ngứa đèn rút điện thoại gọi sang lễ tân resort Tuần Châu, "A nhô, à mình là người nhà anh Tuyển đây mà, ở đó còn phòng không em?", giọng một thằng rất nuột nà trả lời "Dạ phòng thường thì hết rồi, phòng VIP được ko anh?", Kòi lại hỏi "À ừ, thế giá cả sao em", thằng kia tỉnh bơ "Dạ, $275 kèm 2 phiếu ăn sáng.. A lô, alô.. ơ anh ơi.. đâu rồi.. alô.!??!". Ba con chiên ngoan đạo nhìn nhau, không nói với ai lời nào, rồi xe từ từ lăn vào tầng hầm khách sạn Asean!

1h30 ngày 30/4, 3 thằng đang ngủ thì điện thoại bạn Na reo ầm ầm, không ai nghe. Lúc ngủ dạy thấy có tin nhắn từ Kevin Trề, "anh ngủ quên mẹ mất, đang phi xe khách xuống Hạ Long, tí gặp nhá".

5h chiều Kevin Trề gọi điện, "Anh đang ở trước cửa Asean này, ra đón anh cái", 3 người lính khấp khởi mừng ra ngoài khách sạn, không thấy ai quen . Gọi lại hỏi "Anh ở cái chỗ quái nào thế??", "ơ, điên à, anh đang đứng cái bảng Asean to đùng đoàng đây thây". Oy tra mẹ oy, hóa ra nó là cái pano quảng cáo của khách sạn Asean cách chừng 5km đường cò bay.

Lại lên xe lóc cóc ra đi, bạn Neo nổi hứng lôi laptop ra dj, tiếng trống dồn uỳnh uỳnh.. bàn dân thiên hạ cứ gọi là xúm lại xung quanh nghe vì hay quá . Kevin Trề xuất hiện cùng với Lan Elite, sau màn ôm hôn thắm thiết thông thường Kevin Trề đề bạt ngay ý kiến "Tối đi nhảy nhớ, đi cho biết thế nào là sàn Hạ Long". Nghị quyết ngay lập tức được thông qua.

9h30 PM, sau hơn 1 tiếng đồng hồ đợi phà, tiểu đội 5 người gồm 4 nam và 1 nữ có mặt tại vũ trường Hoàn Châu (ko nhớ rõ lắm, he he) tại Hòn Gai. Có khá nhiều xe mang biển 29 đang tọa lạc nơi đây, hứa hẹn một cuộc chơi tới bến.

Phải thừa nhận rằng vũ trường này thực sự ấn tượng về quy mô cũng như số lượng khách hàng. Với hệ thống làm lạnh tiên tiến bằng quạt trần và decor dựa theo nền tảng mỹ thuật của ghế nhựa Xuân Hòa, vũ trường đã tô đậm một phong cách rất riêng, rất tôi và cũng khá buồn cười .

Số lượng khách hàng ở đây đông vãi linh hồn, theo như nhận xét khách quan thì có khoảng 70% khách hàng nam giới có hình xăm, 29% là xăm kín người, 1% còn lại là tiểu đội 5 người. Hầu hết những hình xăm này không mang nhiều về tính nghệ thuật mà toàn Tử Nha câu cá, mẹ ơi con đói, hận tình, hận đời, hận đủ kiểu.. Nhóm tiểu đội lạnh lùng sms cho nhau, "Có gì nói bé thôi, chết đấy" .

Y như rằng, 11h PM, cách khoảng 2 bàn có vụ đụng độ. Choang choang.. choang.. Thấy ngay một chú ôm đầu được bảo vệ kéo ra. Ngay lập tức có 1 bàn ở đằng xa nhìn thấy rồi cả hội mỗi đồng chí cầm 2 chai beer hoành tráng lao sang. Vũ trường trở thành chiến trường. Tiểu đội 5 người mặt lạnh như băng tuyết, không nói câu nào, ngồi im thin thít.. nhìn cũng chả dám.

Thế rồi đám chiến binh đã được security mời ra ngoài. Nhưng, ngồi bên trong vẫn nghe thấy tiếng chân người chạy rầm rập, những âm thanh kiểu xoảng xoảng vẫn vang vọng bên tai. Nhóm Tiểu đội 5 người mặt xanh như tàu lá, kiên nhẫn ngồi lại. Bố bảo cũng chả dám ra.

Đâu chừng 5 phút sau, không hiểu sao hầu hết các bàn đứng dạy tuốt tuồn tuột phi ra ngoài và gần như ai ai cũng cầm ít nhất theo 1 chai beer. Không khí lúc đó càng thêm cao trào.

Tiểu đội 5 người lại tiếp tục kiên nhẫn, kiên nhẫn, và kiên nhẫn..

20 phút sau, không còn thấy ồn ào như ban đầu, bạn Na rụt rè hỏi thằng nhân viên "Đánh nhau xong chưa em?", thằng ku bảo "Chúng nó về hết rồi anh". Tiểu đội mạnh dạn bước ra. Trời ơi, chúng nó đang dàn quân 2 bên hàng rào hằm hè nhau. Có một chú đi NouVo chửi dõng dạc "Lịt mịa bọn dân chơi Hạ Long chúng mày, sang Hòn Gai mà nhờn!". Bên kia lại ầm ầm lên hè nhau kéo sang nhưng security ở đây chắc cũng có sừng có mỏ nên can lại được.

Tiểu đội 5 người đứng ngây ra nhìn, ko biết phải làm sao!

Thình lình, bên Hạ Long có chú ném vèo 1 phát cái gì đen đen sang bên kia. Thấy tiếng ai hô hoán ầm ĩ "Lựu đạn, lựu đạn..". Ối giời ôi, dân tình chạy bán sống bán chết, la hét ầm trời.

Tiểu đội 5 người không có đường chạy, ôm nhau khóc mà rằng "Ko được sinh cùng ngày thì chết xin nguyện được bên nhau". Nói đoạn khóc như mưa .

Nhưng, cái đen đen đấy không hiểu là cái gì, chỉ chắc chắn 1 điều rằng nó không thể nổ. Cũng nhờ vậy nên đám chiến binh té mẹ nó gần hết. Vũ trường kiêm chiến trường lại trở thành chốn an hòa như nó đã từng là như thế. Các anh 113 cũng vừa đến nơi. Các đạo giang hồ tản đi dần, những việc ân oán sau này không tiên liệu được.

Tiểu đội 5 người lên đến phà trở lại Bãi Cháy, và đêm hôm đấy biến luôn về quê. Từ dạo đó ai cũng phải nhắc nhau "Khồng, sàn siếc nhảy nhót, nghỉ nhá!"

Quang Trung 5 - Cavenui

Đô đốc Long là Long nào?

Trong entry trước em có viết rằng thuyết của GS Phan Huy Lê chỉ là thuyết được công bố một cách hoành tráng sớm nhất về viên tướng đánh trận Đống Đa chứ không phải là thuyết ra đời sớm nhất. Trước ông, vào đầu thế kỷ, đã có 1 thuyết khác, nhưng không được phổ biến rộng rãi bằng.

Ông nghè Nguyễn Trọng Trì (1854-1922), một trí thức địa phương không mấy nổi tiếng sống ở Bình Định buổi bàn giao giữa 2 thế kỷ có viết 1 cuốn sách tên là “Tây Sơn lương tướng ngoại truyện”. Trong số các tướng miền trung theo Quang Trung ra Bắc đánh Thanh có ông Đặng Văn Long, người huyện Tuy Viễn, phủ Quy Nhơn. Em không có điều kiện đọc sách này, nhưng trong các cuộc tranh luận về đô đốc Long, người ta có chép lại một đoạn văn của nghè Trì về viên tướng như sau:

“Đặng Văn Long tự là Tử Vân người thời Tây Sơn, quê huyện Tuy Viễn, phủ Quy Nhơn. Lúc nhỏ học võ, rất tinh thông môn trường quyền… Long thông minh vô cùng có nhiều phát minh về nguyên lý của miên quyền, trong rừng võ gọi Long là Đặng Vô Địch; lại thấy nằm dưới đất dùng cánh tay chặn được bánh xe nặng nên gọi là Thiết Tí Đặng (Đặng tay như sắt).

Nguyễn Huệ phá giặc Thanh, Văn Long tự thị nghiêu dũng, muốn lập công lạ, bèn mặc áo trắng cầm kích, lưng đeo cung dài hét to, xông vào trước. Đến nơi nào giặc cũng không chống nổi… vua đặt ban cho hai con ngựa và 40 xấp lụa. Tục truyền là Bạch Y tướng quân (tướng quân áo trắng)

Năm Cảnh Thịnh thứ 2, dư đảng nhà Lê vào cướp Thăng Long, Văn Long nhiếp chức Tả võ uy tướng quân An Đông đạo kinh lượt, giữ trách nhiệm ở chốn biên phòng nhiều phen lập chiến công, được phong chức tả võ lâm quân Đại tướng quân…”.

Nếu chỉ dừng ở đoạn trích dẫn này thì ông nghè Trì không viết thẳng về trận Khương Thượng-Đống Đa. Nhưng cái tên Long khiến nhiều người (trong đó có nhóm bè bạn bác Bùi Thiết) đặt giả thiết: đô đốc Long= Đặng Văn Long.

Bình luận về sách Tây Sơn lương tướng, sử gia Tạ Chí Đại Trường (sử gia hải ngoại, nhưng đã có 2 cuốn sách được in trong nước, cuốn thứ 2 mới in ở NXB Công an nhân dân viết về lịch sử nội chiến thời Tây Sơn) cho rằng với vị thế 1 trí thức nhỏ ở tỉnh lẻ, ông nghè Trì không có điều kiện tìm đọc nhiều sách sử, rất có thể chưa hề nghe thấy tên “đô đốc Long” trong cuốn sách Hoàng Lê nhất thống chí lúc đó chưa phổ biến rộng rãi. Nên không có chuyện ông nghè cố tìm 1 người tên Long để giải bài toán đô đốc Long, mà chắc chắn phải có những cơ sở nào đó ở địa phương để ông lăng xê ông Đặng Văn Long này.

Éo le thay, Đặng Văn Long không phải là tướng Long duy nhất được các nhà nghiên cứu địa phương đưa ra. Search cụm từ “đô đốc Long” trên mạng, em còn tìm ra 2 ông Long nữa. Đủ cả tam Long: Thăng Long, Hạ Long và Tân Long…

Trong 1 tạp chí của Sở VHTT Quảng Ngãi số xuân Đinh Sửu 1997, ông Hồng Nhân (nguyên giám đốc sở VHTT Nghĩa Bình và Quãng Ngãi) cho biết “đô đốc Nguyễn Tăng Long, người làng Đông Thành, nay thuộc xã Tịnh Thọ huyện Sơn Tịnh, một trong những danh tướng góp công đại phá quân Thanh ở Thăng Long năm 1789”. Lý do ông Hồng Nhân tiến cử Nguyễn Tăng Long, ngoài những câu chuyện ở địa phương, còn là 1 bản sắc phong của Cảnh Thịnh ban cho ông này chức đô đốc, ở quê gọi là đô Miên. Điều đáng tiếc là bản sắc phong cũng không còn (“đã bị bom đạn Mỹ đốt cháy năm 1967”?) , nội dung của nó là do các cụ trong làng kể lại.

Ngoài Long Bình Định và Long Quảng Ngãi, tướng Long thứ 3 quê ở Quảng Nam tên là Lê Văn Long. Ông này là con trai Thủ Tài hầu Lê Văn Thủ cũng theo Nguyễn Huệ từ sớm. 1 sắc phong của Quang Trung phong cho ông chức võ tướng hữu quân đô đốc vào ngày 5 tháng 2 Quang Trung năm thứ 2, tức là không lâu sau chiến thắng Kỷ Dậu càng khiến người ta tin rằng ông là đô đốc Long (từ thời gian khen thưởng suy luận ra công trạng mới lập trước đó hẳn là công chống Thanh, chức hữu quân rất hợp với chức hữu quân của đô đốc Long trong sử).

Tóm lại, cả 3 ông Long đều có cơ sở để được đề cử vào “danh hiệu” đô đốc Long, nhưng cả 3 ông, cũng như ông Đặng Tiến Đông ở Hà Tây, không ông nào đủ mạnh để chiến thắng tuyệt đối trong cuộc đua.

Trong 3 tướng Long, ông Đặng Văn Long là người nổi tiếng nhất. Cuốn “Nhà Tây Sơn” của Quách Tấn, Quách Giao ngả theo thuyết đô đốc Long là ông Long này. Nhưng vào thời điểm viết sách, giả thuyết Đặng Tiến Đông đã được công bố, để dung hoà các thông tin trái ngược, họ Quách liền cho Đặng Tiến Đông làm phó tướng cho Đặng Văn Long. Thế là xong, các bên đều vui vẻ cả.

Nếu không có phát hiện lịch sử nào lớn, 50 năm nữa em sẽ viết tiểu thuyết lịch sử về Tây Sơn. Trận Đống Đa của em sẽ có đủ Long A, Long B, Long C, và cả Đặng Tiến Đông nữa. Chiếc bánh chiến công to lắm, ông nào cũng có phần, con cháu ông nào cũng vui lòng hả dạ.

(còn nữa)

Tài năng hay lừa đảo ?

Dantri.com, thứ tư ngày 13/12/2006

Nữ lập trình viên xinh đẹp và tài năng

Ngô Doanh Doanh trước bàn làm việc.

Có ba phát minh được ứng dụng, đoạt giải thưởng quốc tế về lập trình và được công ty sản xuất phần mềm nổi tiếng của Mỹ Topcoder chọn làm Phó tổng giám đốc Khu vực châu Á. Tất cả những thành quả này là của một nữ sinh viên năm 4 ĐH Sư phạm Bắc Kinh, Ngô Doanh Doanh.

12 năm trước, cô gái quê ở Tứ Xuyên (Trung Quốc) Ngô Doanh Doanh bắt đầu học về lập trình máy tính, sau khi lên đại học thì đoạt giải bạc trong cuộc thi sinh viên lập trình quốc tế và được chọn làm chủ tịch trợ lý châu Á của cuộc thi này. Cô rất thích toán học và từng đoạt giải thưởng lớn về toán học của sinh viên trên toàn quốc.

Để có được những thành công hôm nay Doanh Doanh cho biết cô học tập và lao động rất cật lực. Thông thường mỗi ngày cô làm việc khoảng 16 giờ.

Cô gái 21 tuổi này chia sẻ tâm niệm của mình: Làm những điều mình thích mà không vì danh lợi và tận tâm tận lực làm tốt công việc của mình. Không những thế cô còn cho rằng “trong lĩnh vực phát minh sáng tạo bạn phải dũng cảm thử và tuyệt nhiên đừng bao giờ sợ thất bại”.

Theo Uyên Kim
Tuổi Trẻ/Tân Hoa xã

Dantri.com, thứ hai, ngày 18/12/2006

Người đẹp thiên tài hay cao thủ lừa đảo?

Ngô Doanh Doanh - nhân vật đang “hot” ở Trung Quốc hiện nay.

Chỉ sau một đêm ngủ dậy, một nữ sinh đại học 21 tuổi đã trở hành một sinh viên nổi tiếng nhất Trung Quốc, nhưng cũng từ đó một cuộc tranh luận xung quanh thân phận thật của cô đã diễn ra sôi nổi trên mạng Internet và trên báo chí…

Ngô Doanh Doanh sinh tháng 8/1985 tại Thành Đô, năm 2003 thi đỗ vào ĐHSP Bắc Kinh, hiện đang là sinh viên Học viện Tâm lý thuộc trường này.

Mọi việc bắt đầu hôm 7/12, Trường ĐHSP Bắc Kinh tổ chức họp báo công bố sinh viên năm thứ 4 Ngô Doanh Doanh được Công ty siêu quốc gia TopCoder danh tiếng mời làm Phó Tổng giám đốc khu vực châu Á với mức lương không dưới 50 vạn tệ/ năm (1 tỷ VND).

Cũng theo thông tin của phía nhà trường thì cô nữ sinh 21 tuổi xinh đẹp này đã có trong tay 100 phát minh, 3 bằng sáng chế cấp quốc gia, Huy chương Bạc cuộc thi lập trình khu vực châu Á của Hiệp hội máy tính Mỹ ACM, là người Trung Quốc đầu tiên trong Đoàn chủ tịch Ban chấp hành ACM. Chưa hết, cô còn là một vũ sư vào hàng cao thủ có tuổi nghề hơn 10 năm trên sàn nhảy…

Hai ngày sau đó, Ngô Doanh Doanh liên tiếp xuất hiện trên các trang báo, các diễn đàn mạng để nói về bí quyết thành công cũng như những trắc trở trong cuộc đời mình và trở thành một ngôi sao, một “mỹ nữ thiên tài” được ưu ái của giới truyền thông.

Doanh Doanh nói đã được mấy chục tờ báo hẹn phỏng vấn. Tuy nhiên hình ảnh quá hoàn mỹ của Ngô Doanh Doanh cũng bị đặt thành vấn đề trên các diễn đàn mạng. Có ý kiến chỉ trích các bằng sáng chế là giả mạo, 100 phát minh cũng là bịa đặt, lai lịch đầy huyền diệu của cô ở nước ngoài cũng bị nghi ngờ.

Theo điều tra của tờ Tân Kinh Báo thì tư liệu về cá nhân Ngô Doanh Doanh cơ bản là đúng, nhưng sự nghi ngờ đó cũng không phải không có lý: Từ trước đến nay Ngô chưa hề nói 100 phát minh đó là những gì?

3 bằng sáng chế đều về tra tự điển nhanh vốn đã được lưu truyền khá rộng rãi và có 1 cái chưa được thông qua và cô cũng không phải là thành viên ban lãnh đạo ACM.

Đến ngày 14/12 thì lãnh đạo trường ĐHSP Bắc Kinh lên tiếng thừa nhận: 100 phát minh chưa được kiểm chứng nên không thể nói rõ, 3 sáng chế thì đúng ra là chỉ có 2, chuyện các chức vị và hoạt động thì có sự phóng đại quá mức.

Phóng viên đã tìm cách liên lạc với Ngô Doanh Doanh qua điện thoại và tin nhắn song đều không nhận được hồi âm.

Có ý kiến cho rằng, trong hoạt động “tạo sao” này, ĐHSP Bắc Kinh đã đóng vai trò “phóng vệ tinh”. Thực ra Ngô được TopCoder mời giữ chức từ tháng 8 cơ, nhưng khi đó chả báo nào đưa tin, người ta cũng nghi ngờ về động cơ đánh bóng tên tuổi của công ty qua vụ việc này.

Tuần tới, chi nhánh châu Á của TopCoder sẽ khai trương tại Bắc Kinh nhưng đến nay mới chỉ có một mình cô vừa là lãnh đạo vừa là nhân viên. Phía nhà trường đã lên tiếng phủ nhận họ làm như thế để đánh bóng tên tuổi cho Ngô.

Đến nay thì vấn đề đã tương đối rõ: Đây là một kiểu đánh bóng tên tuổi một cá nhân có sự phối hợp chặt chẽ, sắp đặt công phu khiến hàng mấy chục cơ quan báo chí mắc lừa. Dưới đây là kết quả điều tra của Tân Kinh Báo về những điểm nghi ngờ trong lai lịch và thành tựu của “mỹ nữ thiên tài” Ngô Doanh Doanh:

Về “100 phát minh”, Ngô phát biểu: “Khi hoạt động bình chọn sinh viên xuất sắc năm 2006 bắt đầu cũng là lúc tôi hoàn tất phát minh thứ 100 của mình. Hy vọng những phát minh của tôi sẽ có đóng góp cho đất nước”.

Qua điều tra thấy, Ngô Doanh Doanh chỉ nói mà không hề kể tên 100 phát minh đó là những gì. Phía nhà trường cũng nói họ chưa kiểm chứng chúng và “có thể gồm cả những phát minh từ hồi học trung học, nhưng có lẽ cũng không nhiều đến thế”.

Về chức danh trong Đoàn chủ tịch ACM, Ngô nói: “Ngày 15/11/2005 tôi được bầu làm Trợ lý Chủ tịch ACM, trở thành người Trung Quốc đầu tiên có mặt trong Đoàn chủ tịch ACM.

Tiếp đó tôi lại nhận lời tham dự vòng chung kết cuộc thi lập trình viên quốc tế lần thứ 13 và Hội nghị cấp cao RCDS”.

Kết quả điều tra cho thấy: Trên website của ACM không tìm thấy tên của Ngô Doanh Doanh, còn trong thư của ông W.Bochett, Giám đốc hành chính của ACM gửi Ngô hôm 12/4/2006 thì ghi rõ chức vụ cô được giao đảm nhiệm là “Trợ lý báo chí khu vực Trung Quốc và Trợ lý người phụ trách khu vực châu Á”.

Ngày 14/12, phía trường đã đính chính: Ngô Doanh Doanh không phải thành viên Đoàn chủ tịch ACM mà chỉ là Trợ lý Đoàn chủ tịch Hội đồng thi, “có lẽ do sai sót khi phiên dịch” (!?).

Về tấm Huy chương Bạc cuộc thi ACM khu vực châu Á, Ngô Doanh Doanh nói: “Bằng nỗ lực vất vả của bản thân, tôi đã giành được Huy chương Bạc cuộc thi ACM khu vực châu Á, thực hiện cú đột phá xoá bỏ tình trạng sinh viên ĐHSP Bắc Kinh chưa bao giờ được giải trong cuộc thi danh tiếng này”.

Qua điều tra trên trang web của ACM thì thấy trong danh sách 24 người đạt thành tích tốt nhất trong cuộc thi năm đó ở Thành Đô không thấy có tên Ngô Doanh Doanh. Ngô nằm trong số khoảng hơn 10 thí sinh ngoài danh sách này nhưng không thấy ghi là được trao giải gì.

Về 3 bằng sáng chế quốc gia, trên website của Cục Bảo hộ bản quyền tri thức Trung Quốc thấy ghi Ngô Doanh Doanh sở hữu 2 sáng chế về phương pháp tra tự điển nhanh. Tuy nhiên còn có ý kiến cho rằng 2 sáng chế này thực ra là một, nhưng cô đã đăng ký bản quyền tại hai nơi khác nhau với tên gọi khác nhau.

Phóng viên đã tìm đến trường ĐHSP Bắc Kinh để gặp gỡ bạn học của Ngô Doanh Doanh thì được biết: “Bạn ấy thành tích học tập rất tốt, nhưng rất xa cách bạn bè”.

“Ngô chuyển từ lớp thực nghiệm sang học viện tâm lý hồi năm thứ 2, bạn ấy rất bận, rất ít lên lớp, mọi người đều không hiểu về bạn ấy lắm, cũng chả biết bạn ấy làm gì, chỉ nghe nói hồi học lớp 5 bạn ấy đã học lập trình. Nói thật, nhiều điều về bạn ấy mấy ngày nay chúng em mới được biết khi đọc báo thôi”.

Ngô Doanh Doanh hiện đã “mất tăm”. Trước đây khi gõ tên cô để tìm kiếm, người ta sẽ nhận được trả lời “ứng cử viên nhân vật sinh viên toàn quốc 2006”, còn nay thì tên cô đã gắn với những từ không mấy hay ho như: “Giả mạo học thuật”, “tập thể lăng-xê”, “cao thủ lừa đảo”…

Theo Thu Hoa
Tiền Phong/Tân Kinh Báo, 15/12

Quang Trung 4 - Cavenui

4. Ai đã ghi bàn mở tỉ số trận Đống Đa?

Có thể khác nhau ở những chi tiết lặt vặt, nhưng hầu hết các sách sử xưa khi viết về chiến dịch giải phóng Thăng Long của Quang Trung đều thuật như sau:

Trong khi đội quân trung tâm do đích thân Quang Trung chỉ huy đang đánh nhau với quân Thanh ở Ngọc Hồi-Hạ Hồi thì cánh hữu quân thọc vào khu vực Khương Thượng-Đống Đa, làm 1 trận thảm sát quân Thanh cực kỳ hoành tráng, tướng Thanh Sầm Nghi Đống phải thắt cổ tự tử và cánh hữu quân này đã tiến vào Thăng Long đầu tiên. Ý nghĩa của chiến thắng Khương Thượng-Đống Đa này lớn đến nỗi mà ngày nay, chúng ta đều gọi chiến dịch giải phóng Thăng Long một cách giản lược là trận Đống Đa.

Nhưng viên tướng chỉ huy hữu quân, tiền đạo cánh phải ghi bàn mở tỉ số trong trận Đống Đa là ai thì sử sách chép lại rất mơ hồ.

Hoàng Lê nhất thống chí và một số sách chép là "đô đốc Long". Đại Nam chính biên liệt truyện và một số sách khác chép là "đô đốc Mưu". Tất cả các sách sử cũ, không những không nói gì về thân thế sự nghiệp viên đô đốc, mà họ tên đầy đủ cũng không có nốt.

Sử cũ không chép rõ thì sử mới phải đi tìm. Tìm trong dân gian, lục tung các gia phả, sục sạo các miếu đền, phủi bụi các bản sắc phong v.v.

Người tìm ra sớm nhất, nói chính xác hơn, người công bố cái sự tìm ra của mình một cách hoành tráng sớm nhất là GS Phan Huy Lê- 1 tên tuổi lớn trong giới sử học Hà Nội.

Năm 1973 GS Lê giới thiệu phát hiện của mình trong 1 cuốn sách danh nhân quê choa của tỉnh Hà Tây, 1 năm sau GS giới thiệu trên các tạp chí chuyên ngành ở tầm trung ương là tờ Khảo cổ học và tờ Nghiên cứu lịch sử. Viên tướng chỉ huy hữu quân đó, té ra tên không phải là Long, cũng không phải là Mưu, mà tên là Đông: Đặng Tiến Đông. Viên tướng đó không phải đồng hương Bình Định với Quang Trung, mà là người Hà Tây, thuộc 1 dòng họ có thể gọi là danh gia vọng tộc, trí thức lớn Bắc Hà-quan lớn nhà Lê-Trịnh. Vì GS Phan Huy Lê uy tín đầy mình, nên nhân vật Đặng Tiến Đông mau chóng được thừa nhận. Cả viện bảo tàng lịch sử Hà Nội lẫn Nhà bảo tàng Quang Trung ở Bình Định đều phục chế và trưng bày sắc phong của Tây Sơn cho Đông lĩnh hầu Đặng Tiến Đông, con đường chạy sát gò Đống Đa ở Hà Nội được đặt tên là phố Đặng Tiến Đông. Tướng Đông còn được giới thiệu trong Từ điển bách khoa VN như là vị chỉ huy đạo quân đánh vào Khương Thượng-Đống Đa...

Không đi sâu vào chuyện đời Đặng Tiến Đông qua sự tường thuật của Phan tiên sinh, ta chỉ chú ý đến cơ sở để GS khẳng định Đặng Tiến Đông là viên tướng chỉ huy trận Khương Thượng-Đống Đa.

Ở Hà Tây có 1 cái chùa tên là chùa Thủy Lâm. Trước chùa này có dựng văn bia "Sùng đức thế tự bi" ghi chép công trạng Đặng Tiến Đông, văn bia có đoạn:

Mậu Thân @@ sơ, Bắc binh Nam mục, công phụng chiếu tiên phong đạo, tiến chiến nhi Bắc binh hội. Công đơn kỵ đương tiên, túc thanh cung cấm. Vũ Hoàng giá lâm Thăng Long, sách huân hành thưởng...

2 chữ @ là 2 chữ đã bị đục bỏ, GS Lê đoán 2 chữ đó là Quang Trung và dịch nghĩa đoạn trên như sau:

Năm Mậu Thân đầu đời Quang Trung, quân Bắc xuống cai trị nước Nam, ông phụng chiếu cầm đạo quân tiên phong, tiến đánh cho quân Bắc tan vỡ. Ông một mình một ngựa tiến lên trước, dẹp yên nơi cung cấm. Vũ Hoàng vào Thăng Long, tiến hành khen thưởng...

Chi tiết đô đốc Long (Mưu) vào Thăng Long trước tiên trong sử cũ ứng với chi tiết Đặng Tiến Đông một mình một ngựa tiến lên trước, dẹp yên nơi cung cấm trong văn bia. Từ đó GS Lê khẳng định tướng Đông là viên tướng chỉ huy hữu quân, đánh trận Khương Thượng-Đống Đa, vào thành Thăng Long trước tiên, và có lẽ chính là người mà sử cũ chép là đô đốc Long với cả đô đốc Mưu.

Đã có một số sử gia ít tiếng tăm hơn GS Lê phản bác lại GS, trong những tạp chí chuyên ngành lưu hành nội bộ, trong những đơn thư tố cáo đả kích vừa bỉ tư tưởng vừa bỉ cá nhân..., nhưng những chuyện như vậy người ngoài giới không thể biết được. Câu chuyện "có thật Đặng Tiến Đông?" chỉ được đem ra buôn lê vào năm 2000, khi xuất hiện cuốn "Đối thoại sử học" (nộp lưu chiểu 12/99- NXB Thanh Niên) của 1 nhóm sử gia quy tụ quanh Bùi Thiết ném đá GS Lê và vài tháng sau là cuốn "Thực chất của Đối thoại sử học" (NXB Thế Giới) gồm những bài viết của GS Lê và các đệ tử phản pháo lại nhóm Bùi Thiết và chiến hữu. Đặng Tiến Đông chỉ là 1 trong non chục chiến trường để 2 bên phô diễn kỹ năng và tiểu xảo ném đá. Ngoài trận Đặng Tiến Đông, 2 bên còn đánh nhau trên các mặt trận "đồ sắt đồ đồng đồ nào có trước", "phân kỳ lịch sử VN", "bản in Đại Việt sử ký toàn thư-Nội các quan bản", "phòng tuyến Tam Điệp", "Phan Liêu", "đền Cẩu nhi" (vụ này năm 2005 một lần nữa được chiến tiếp). Cá nhân em thấy chỉ có vấn đề Đặng Tiến Đông là hấp dẫn hơn cả.

Giương cao ngọn cờ "phù Long diệt Lê", các chiến hữu của Bùi Thiết (Đỗ Văn Ninh, Trần Văn Quý, Lê Trọng Khánh) tập trung vào những điểm sau:

- Điều gì khiến GS Lê khẳng định 2 chữ bị đục bỏ là Quang Trung?

- Đầu năm Mậu Thân chưa có trận Đống Đa, chỉ có trận Tây Sơn tiến vào Thăng Long đánh đuổi vua tôi Lê Chiêu Thống-Nguyễn Hữu Chỉnh để đáp trả lại việc vua Lê cho sứ vào Nam đòi đất. Bắc binh ở đây là quân vua Lê. Công trạng của viên tướng họ Đặng là công trạng đánh Lê Chiêu Thống-Nguyễn Hữu Chỉnh không phải công trạng đánh quân Thanh. Chiến thắng Đống Đa diễn ra vào dịp Tết Kỷ Dậu, không phải vào năm Mậu Thân.

- Cùng là trí thức lớn Bắc Hà với nhau, các tác giả Hoàng Lê nhất thống chí thuộc họ Ngô Thì tất nhiên phải biết rõ dòng họ Đặng ở Lương Xá, trong đó có Đặng Tiến Đông, nếu quả thực họ Đặng đánh trận này tất nhiên họ phải biết và phải viết, không thể ghi nhầm là đô đốc Long được. Họ Ngô Thì không ít chữ đến nỗi nhầm chữ Long với chữ Đông.

- Phải trả lại công trạng cho đô đốc Long, phố Đặng Tiến Đông dứt khoát phải đổi lại tên thành phố Đô đốc Long.

Đáp trả lại, các học trò của GS Phan nói rằng:

- Nhóm ném đá dốt mới đem chữ sơ bổ nghĩa cho chữ Mậu Thân, rồi gán ghép thành sự kiện đánh Nguyễn Hữu Chỉnh đầu năm Mậu Thân. Chữ sơ dùng để bổ nghĩa cho 2 chữ @ bị đục bỏ, "Mậu Thân @@ sơ" không phải là "đầu năm Mậu Thân" mà là "năm Mậu Thân đầu niên hiệu @@". Năm Mậu Thân 1788 đúng là năm quân Thanh tràn vào VN, ứng với việc Bắc binh Nam mục.Năm 1788 đúng là năm Nguyễn Huệ lên ngôi, năm đầu tiên của niên đại Quang Trung nên Mậu Thân Quang Trung sơ là hợp lý. Dưới chế độ nhà Nguyễn, chữ Quang Trung bị đục bỏ là lẽ dĩ nhiên. Một số chuyên gia đem theo con lăn với mực ra tận hiện trường khảo sát cũng khẳng định chữ bị đục bỏ phải là Quang Trung.

- Đầu năm Mậu Thân đúng là có chuyện Tây Sơn ra Bắc diệt Nguyễn Hữu Chỉnh, nhưng không có chuyện Vũ Hoàng vào thành ban thưởng như trong văn bia.

- Nhóm ném đá khẳng định Bắc binh là quân vua Lê thế Bắc binh Nam mục giải thích thế nào. Trong năm Mậu Thân 1788 không có đợt Nam tiến nào của quân vua Lê cả. Nhóm ném đá có bóng gió nhắc đến chuyện vua Lê cử 1 đoàn sứ bộ vào Nam đòi đất, nhưng phái đoàn 21 người đòi đất một cách nhũn nhặn đó không thể gọi là Bắc binh Nam mục được.

- Nhóm ném đá đòi tôn vinh đô đốc Long, vậy đô đốc Mưu thì sao?

Có lẽ là trong phần phân tích văn bia chùa Thủy Lâm, học trò thầy Phan nói đúng hơn bè bạn bác Bùi. Đúng là văn bia nói chuyện đánh quân Thanh. Các cụ ngày xưa viết lách quá nén, bây giờ extract ra đầy lỗi, đâm ra nan giải. Mậu Thân Quang Trung sơ ứng với chuyện Hoa quân nhập Việt, còn đoạn đánh nhau là ở khúc sau của câu, nên dẫu việc đó xảy ra vào đầu năm Kỷ Dậu tiếp theo; thì cũng không bắt bẻ được gì.

Nhưng từ chỗ văn bia chùa Thủy Lâm ghi công Đặng Tiến Đông đến việc khẳng định hùng hồn Đặng Tiến Đông chính là người có công đánh trận Khương Thượng-Đống Đa, có vội quá không?

Thắc mắc của bạn bè bác Bùi về chuyện sao họ Ngô Thì, chơi với họ Đặng như thế mà không đả động đến họ Đặng, đâu phải là không có cơ sở?

Có văn bia chùa Thủy Lâm thì biết đâu cũng có thể có những văn bia khác ở những chùa khác. Ở Bình Định đã có một vài giả thuyết được đưa ra, và tất cả các ứng cử viên Bình Định đều có tên là Long.

(còn nữa)

Quang Trung 3 - Cavenui

3. Có 1 hay 2 tướng Ngô Văn Sở?

Ngô Văn Sở là 1 viên tướng giỏi dưới quyền Quang Trung, sự nghiệp thăng tiến vùn vụt trong giai đoạn Bắc Hà. Khi Nguyễn Huệ ra Bắc giết phản tướng Vũ Văn Nhậm, Sở được phong chức Đại tư mã, cai quản toàn bộ 11 trấn Bắc Hà. Hoàng Lê Nhất Thống Chí chép lời Nguyễn Huệ: “Sở và Lân (Phan Văn Lân) là nanh vuốt của ta”, chứng tỏ Sở rất được Nguyễn Huệ tin cậy. Khi quân Thanh vào VN, Sở nghe theo kế Ngô Thì Nhậm, tổ chức rút lui chiến thuật về Tam Điệp, gọi đại quân của Nguyễn Huệ ra xử lý. Việc rút lui này cũng được Nguyễn Huệ khen ngợi. Sở tiếp tục cai quản Bắc Hà một thời gian nữa. Sau khi Quang Trung chết, nội bộ chính quyền vua con Cảnh Thịnh lục đục, Vũ Văn Dũng làm đảo chính lật đổ thái sư Bùi Đắc Tuyên, Sở thuộc phe Tuyên bị tướng Dũng dìm xuống sông Hương cho đến chết.

Đó là tư liệu dạng phổ biến nhất về tướng Sở, người được đặt tên phố ở Hà Nội. Nhưng sự thật dường như phức tạp hơn.

Tạp chí Sông Hương số 25 (tháng 5-6, 1987), nhà nghiên cứu xứ Huế Phan Thuận An viết bài: “Tướng Ngô Văn Sở không phải là danh tướng Ngô Văn Sở" cho biết có đến 2 ông Ngô Văn Sở cùng họ tên ở cùng một thời kỳ, nhưng lại phục vụ 2 chế độ đối kháng nhau. Ngoài đại tư mã Sở đã nói ở trên (quê Nghệ Tĩnh), Tây Sơn còn 1 viên đô uý Ngô Văn Sở (quê Gia Định) sau ra hàng Nguyễn Ánh, làm tướng dưới quyền Võ Tánh ở Bình Định, sau khi Gia Long dẹp yên Tây Sơn, tướng Sở này được giao trấn thủ Thanh Hoa ngoại (Ninh Bình).

Những thông tin này nhà nghiên cứu Phan Thuận An lấy từ Đại Nam chính biên liệt truyện.

Thế Giới Mới số 50 (2/93) có đăng bài của Vĩnh Định phản bác kết luận có 2 tướng Sở của Phan Thuận An. Vĩnh Định khẳng định tướng Sở ra hàng Nguyễn Ánh chính là đại tư mã Sở nổi tiếng kia.

Thứ nhất, Sở Gia Định với Sở Nghệ Tĩnh, theo tác giả, chính là 1 người.

Dòng dõi tướng này đúng là ở Hà Tĩnh, nhưng mấy đời trước đã lưu lạc đến Gia Định rồi nhập cuộc chính ở miền Nam. Đại tư mã Ngô Văn Sở của Tây Sơn ăn cơm tấm nói giọng Gia Định, khi làm tổng trấn Bắc Thành có gọi họ Ngô ở Nghệ Tĩnh đem đối chiếu gia phả để nhận họ.

Thứ 2, thông tin về Sở bị Vũ Văn Dũng dìm chết trong vụ chính biến chỉ là 1 nguồn thông tin, các gia phả của họ Ngô ở nhiều nơi đều nói Sở biết được Dũng mưu hại nên đã ra hàng Nguyễn Ánh và thoát. Quyển Việt Nam thời bành trướng Tây Sơn của Nguyễn Phương, xuất bản ở Sài Gòn năm 1968 cũng viết: "Họ (tức Võ Văn Dũng) còn mạo chiếu ra Bắc thành xin Quang Thùy cho Ngô Văn Sở về kinh, nhưng Sở biết trước, đã liệu đầu hàng Nguyễn Ánh".

Theo thuyết của Nguyễn Phương và Vĩnh Định, đại tư mã Ngô Văn Sở lẫy lừng của Tây Sơn đã ra hàng Nguyễn Ánh và chính là viên tướng được giao cai quản Ninh Bình, chết già năm 1822, lăng mộ tử tế.

Ý kiến 2 có vẻ ổn hơn ý kiến có 2 tướng Ngô Văn Sở, nhưng còn 1 điểm gây phân vân. Ngô Văn Sở là danh tướng của Quang Trung ra hàng Nguyễn Ánh, nếu Ánh không dung thì không nói làm gì, còn nếu dung thì sao không biết sử dụng tài nghệ của ông ta mà chỉ cho Sở giữ 1 chức nhỏ (nhỏ đến nỗi mà nhiều sử gia không để ý đến chi tiết có viên tướng Ngô Văn Sở của nhà Nguyễn theo Đại Nam chính biên liệt truyện)? Liệu giám đốc khu vực của Microsoft khi đầu quân cho Intel mà chỉ làm 1 nhân viên bán hàng thì có tin được không?

Vĩnh Định giải thích rằng Sở đã khai man lý lịch, hạ cấp chức vụ của mình ở Tây Sơn xuống thành đô uý. Nhưng lính Tây Sơn hàng Nguyễn cũng nhiều, Sở thừa biết là chẳng thể che giấu thân thế mình được lâu, ông ta làm vậy làm gì? Hơn nữa, về phía Ngô Văn Sở, nếu sau khi thoát chết, chỉ muốn yên thân thì ông ta không nhất thiết phải hàng Nguyễn Ánh. Còn nếu muốn trả thù Tây Sơn ngược đãi mình thì lẽ ra ông phải khoe tầm cỡ của mình, hăng hái xông lên tuyến đầu, trở thành danh tướng cho Nguyễn Ánh mới phải.

(còn nữa)

Quang Trung 2 - Cavenui

2. Quang Trung đại phá mấy vạn quân Thanh?

Tầm vóc của chiến thắng quân Thanh quyết định tầm cỡ của nhà quân sự Quang Trung Nguyễn Huệ, vì thế việc xác định số quân Thanh tham chiến ở VN là rất quan trọng trong sự đánh giá Quang Trung.

Đều nói có sách mách có chứng hẳn hoi, nhưng nếu như những người thuộc phái tự tôn dân tộc có thể tự hào rằng Quang Trung đại phá đến 1 triệu quân Thanh thì những người thuộc phái “người VN xấu xí” lại bảo số quân Thanh chỉ vẻn vẹn hơn 1 vạn. Ở giữa 2 con số khác nhau một trời một vực (gấp nhau 100 lần) đó là nhiều con số khác.

Thật ra ở cả 2 cực thống kê, người ta đều ăn gian tí tẹo.

Con số 1 triệu được lấy từ Hoàng Lê Nhất Thống Chí, căn cứ vào bài hịch của Tôn Sĩ Nghị tuyên bố số quân Thanh là 50 vạn, và “Tám điều quân luật” của họ Tôn nói rằng mỗi người lính được cấp 1 tên phu. Vị chi lính+ phu= 1 triệu. Ta thừa biết những tuyên bố của Tôn Sĩ Nghị (cho là Hoàng Lê Nhất Thống Chí ghi chép trung thực) mang tính khoa trương, đe dọa, số quân có thể được bơm lên nhiều lần hòng làm cho đối phương sợ vỡ mật mà tự thua. Con số này hoàn toàn không đáng tin cậy.

Con số nhỉnh hơn 1 vạn được lấy từ một số sách Tàu. Đại Thanh thực lục chép số quân là 1,5 vạn, An Nam ký sự (Càn Long) chép là hơn 1 vạn, Càn Long chinh vũ An Nam ký (Ngụy Nguyên) chép là 1,8 vạn. Cả Đại Thanh thực lục lẫn Càn Long chinh vũ An Nam ký đều nói quân Lưỡng Quảng của Tôn Sĩ Nghị là 1 vạn, phần chênh ra (5-8 ngàn) là đạo quân Vân Quý do đề đốc Ô Đại Kinh chỉ huy. Những con số này chỉ khác nhau tí chút, đều thống nhất với nhau rằng quy mô của cuộc viễn chinh không lấy gì làm to. Nhưng nếu chỉ tính những con số này lại là hơi ăn gian. Ăn gian ở chỗ chính các sách này đều nói đó chỉ là bộ đội chính quy, chưa tính quân du kích (thổ binh, nghĩa dũng) và phu vận chuyển lương thực. Còn nếu tính cả những lực lượng này thì con số quân Thanh là hơn 10 vạn (Đại Thanh thực lục) hoặc mơ hồ vài chục vạn (Càn Long chinh vũ An Nam).

Về phía sử Việt, Đại Nam chính biên liệt truyện chép số quân Thanh là 20 vạn, nhưng lại không nói rõ con số này có bao gồm thổ binh, nghĩa dũng và lương binh hay không. Các nhà nghiên cứu lịch sử thời hiện đại, trên tinh thần đề cao anh hùng áo vải cờ đào, khi lấy Đại Nam chính biên liệt truyện làm nguồn dữ liệu cơ sở, đã ngầm định con số này chỉ là quân chủ lực, muốn tính số quân thực tế thì còn phải cộng thêm nhiều nhiều.

Chẳng hạn, Văn Tân, tác giả cuốn “Nguyễn Huệ- con người và sự nghiệp” (Hà Nội, 1967) đã kết hợp con số 20 vạn của Đại Nam chính biên liệt truyện với tư liệu trong Lê sử toản yếu, nói rằng mỗi lính có 3 lương binh đi kèm, để đưa ra con số 80 vạn quân Thanh. Nguyễn Lương Bích và Phạm Ngọc Phụng trong “Tìm hiểu thiên tài quân sự của Nguyễn Huệ” tuy không tính cụ thể như Văn Tân nhưng cũng khẳng định 20 vạn theo Đại Nam chính biên liệt truyện chỉ là lục quân, chưa có các lực lượng hỗ trợ khác.

Băn khoăn trước sự chênh lệch quá đáng giữa 2 nguồn dữ liệu, sử gia Phan Huy Lê hy vọng tìm được một con số trung dung. Ông tìm được 1 bài chiếu của Quang Trung do Ngô Thì Nhậm chấp bút có câu “đem 29 vạn binh ra ngoài cửa ải” để khẳng định tổng số quân các loại của Thanh trên đất Việt là 29 vạn. Con số này không khó tin như 1 triệu hay 80 vạn, nhưng cũng dễ chịu hơn con số 1 vạn quân chủ lực, 10 vạn lương binh.

(Cavenui trình bày lại, dựa theo các thông tin lấy trong: “Phong trào Tây Sơn và anh hùng dân tộc Quang Trung”- Nguyễn Phan Quang, NXB Tổng hợp TP.HCM, 2005)

(Còn nữa)

Quang Trung 1 - Cavenui

Quang Trung

Gần đây cuốn tiểu thuyết lịch sử Tây Sơn bi hùng truyện bị nhiều người ở Bình Định phản đối vì chi tiết hư cấu Trần Quang Diệu ra hàng Nguyễn Ánh bị coi là xúc phạm nhân vật lịch sử. Em đọc lại vài cuốn sách về phong trào Tây Sơn của Nguyễn Huệ và thấy có quá nhiều những thông tin khác nhau. Ghi lại một vài…

1. Nguyễn Huệ- Nguyễn Lữ: ai là anh, ai là em?

Nguyễn Nhạc là anh cả thì đúng rồi, nhưng Huệ và Lữ ai là anh ai là em thì sử sách ghi lại không thống nhất.

Lữ là anh Huệ- đó là quan điểm của các sách Đại Nam thực lục tiền biên, Đại Nam chính biên liệt truyện, Tây Sơn thuỷ mạt khảo…

Một số ghi chép của các giáo sĩ phương Tây cũng thiên về ý này. Đại loại, dưới Nguyễn Nhạc có 2 ông hoàng là Duc Ong Bai và Duc Ong Tam (đức ông Bảy và đức ông Tám), trong đó người hành quân ra Bắc, người đánh nhau với ông anh cả, vị bạo chúa đáng sợ ở miền Nam Kỳ Thượng theo những ghi chép này là Duc Ong Tam, người em thứ 8 của tiếm vương Nguyễn Nhạc, đức ông Bảy Nguyễn Lữ đương nhiên là anh.

Nhưng Khâm định Việt sử thông giám cương mục lại xếp thứ tự mấy anh em Tây Sơn là Nhạc-Huệ-Lữ.

Ở Quy Nhơn dân gian truyền tụng nickname của mấy anh em Tây Sơn thửa hàn vi như sau: Nguyễn Nhạc thuở đi buôn trầu gọi là Hai Trầu, Huệ là Ba Thơm, còn thầy tu đạo Hồi Bani là Tư Lữ. Tức là Huệ là anh.

Liệt kê những thông tin trái ngược này trong cuốn “Những khám phá về hoàng đế Quang Trung” (NXB Thuận Hóa, Huế, 1994), nhà nghiên cứu lịch sử Đỗ Bang thiên về giả thuyết Nguyễn Huệ là em. Ông lý giải, Nguyễn Huệ sinh năm 1753, lúc 30 tuổi có 2 tướng giúp sức là Trương Văn Đa và Võ Văn Nhậm đều là con rể Nguyễn Nhạc. Nhạc còn có 1 cô con gái gả cho chúa Nguyễn Phúc Dương từ 1775. Khi Huệ 22 tuổi mà Nhạc đã có con đến tuổi lập gia đình thì có thể suy luận ra thành Nhạc phải hơn Huệ 15-20 tuổi. Từ đó suy ra Huệ phải là con út.

(còn nữa)

Nếu tôi là Huyremy

Ấy chết, bạn đừng nghi oan cho tôi, tôi nào dám tranh giành chức vị "hacker số 1 VN" với Huyremy. Chẳng qua tôi chỉ tự hỏi, nếu ở vị trí của Huyremy, tôi sẽ làm gì để tự bảo vệ mình?

Trước khi bắt đầu, tôi nghĩ cần phải đặt ra một số giả thuyết như thế này: a) C15 rất lành nghề trong lĩnh vực computer forensic và data recovery; b) Toàn bộ hoạt động đi lại của tôi ở ngoài đời đều bị theo dõi; c) Điện thoại của tôi bị nghe lén, thư tay + SMS bị đọc trộm; d) Kênh liên lạc duy nhất của tôi với thế giới bên ngoài là Internet, tuy nhiên toàn bộ Internet traffic của tôi cũng bị C15 log lại và phân tích kĩ lưỡng. Tôi phải làm gì để đảm bảo privacy cho mình? Tôi phải làm gì để an tâm thực hiện công việc của mình? Câu trả lời là mã hóa, mã hóa và mã hóa. Mã hóa cái gì? Tất cả. Tôi nghĩ rằng không cần phải nhắc đến firewall, IDS, VPN hay anti-virus, bởi lẽ đây là điều đương nhiên cần phải thực hiện ngay cả khi bạn không phải là "hacker số 1 VN".

Trước tiên tôi sẽ torify cuộc đời mình:

Tor is a toolset for a wide range of organizations and people that want to improve their safety and security on the Internet. Using Tor can help you anonymize web browsing and publishing, instant messaging, IRC, SSH, and other applications that use the TCP protocol. Tor also provides a platform on which software developers can build new applications with built-in anonymity, safety, and privacy features.

Tor aims to defend against traffic analysis, a form of network surveillance that threatens personal anonymity and privacy, confidential business activities and relationships, and state security. Communications are bounced around a distributed network of servers called onion routers, protecting you from websites that build profiles of your interests, local eavesdroppers that read your data or learn what sites you visit, and even the onion routers themselves.

Tất cả Internet traffic của tôi, từ 21, 22, 25, 53, 80, 443, 5050, 6667...sẽ được đẩy qua Tor trước khi đi đến đích cuối cùng. Tôi sẽ trở nên vô hình.

Tor không hoàn hảo, một ngày nào đó tôi sẽ bị phát hiện, lúc đó tôi cần một cách hủy dữ liệu nhanh nhất và an toàn nhất. Cách hủy dữ liệu tốt nhất là gì? Format lại ổ cứng, cài lại hệ điều hành? Ghi đè ổ cứng vài chục lần? Không. Huyremy đã làm như thế nhưng C15 vẫn tìm thấy chứng cứ trong ổ cứng của anh ta. Wietse & Dan đã viết như thế này trong tác phẩm kinh điển Forensic Discovery:

Destroying information turns out to be surprisingly difficult [Gutmann, 1996] and [Gutmann, 2001]. Memory chips can be read even after a machine is turned off. Although designed to only read ones and zeroes, memory chips have undocumented diagnostic modes that allow access to tiny left-over fragments of bits. Data on a magnetic disk can be recovered even after it is overwritten multiple times. Although disk drives are designed to only read the ones and zeroes that were written last, traces of older magnetic patterns still exist on the physical media [Veeco, 2004].

Vậy thì tôi sẽ tháo ổ cứng ra, quăng xuống biển? Đôi khi bạn sẽ không có đủ thời gian để làm chuyện đó, nhất là khi có cái còng số 8 đang lửng lơ trước mặt. Có một cách giúp làm cho dữ liệu tự hủy mà không cần tôi phải làm gì và tôi đã chỉ cho bạn cách đó rồi. Không nhớ àh? Mã hóa. Muốn hủy dữ liệu ư? Chỉ cần quên passphrase hay keyfile là xong. "Thiết bị chuyên dụng" của C15 cũng sẽ đớ người ra như chủ nhân của nó nếu như tôi mã hóa như sau.

Đầu tiên, tôi dùng LUKS để mã hóa /home và swap bằng AES với một passphrase dài 20 kí tự và keyfile là một trong số vài ngàn tấm hình mà tôi đã chụp. Tiếp theo tôi tạo hai container trong /home bằng TrueCrypt, một cái là play và một cái là work, tất cả mã hóa bằng hai cái passphrase + keyfile khác nhau (và khác passphrase + keyfile của LUKS). Trong cái container work, tôi lại tạo thêm một cai hidden volumn, đề phòng trường hợp C15 biết tôi xài TrueCrypt và họ ép tôi phải đưa ra passphrase (lolz tôi đang nói cho họ biết tôi đang xài cái gì rồi, thế là hết dám phạm tội). Tiếp theo, tôi mã hóa tất cả các file nằm trong work và play với gnupg. Email, log của Gaim cũng được mã hóa bằng gnupg. Bash history được secure delete mỗi phút. Profile của Firefox cũng được secure delete mỗi lần sử dụng xong. Tôi sử dụng một mật khẩu khác nhau cho mỗi website mà tôi tham gia, và chúng cũng được mã hóa nốt, đề phòng trường hợp ai đó chôm được chúng.

Giả sử C15 muốn lấy dữ liệu của tôi, họ phải làm gì? Trước tiên, họ phải giải mã được cái /home và swap của tôi. Root partition sẽ được cho free để họ tha hồ mà nghiên cứu. Nếu như họ dùng cách nào đó mount được /home và swap của tôi lên (bằng "nghiệp vụ" chẳng hạn), họ sẽ lại đối diện với TrueCrypt. Muốn mount được hai cái container lên, họ phải biết được passphrase và keyfile nằm lẫn lộn trong cái USB Thumbdrive. Lại bằng "nghiệp vụ", họ vẫn mount được hai cái container đó lên. Lúc này, họ sẽ được chào đón bằng gnupg. "Nghiệp vụ" lại giúp họ decrypt hết tất cả những gì mà tôi muốn che dấu. Tuy nhiên, cho đến bước này, họ vẫn chưa tìm được bằng chứng kết tội tôi. Đơn giản vì tôi quên chưa nói là tất cả điệp vụ của tôi được thực hiện trong một cái VMware image chứa trong hidden volumn của cái container work. Dĩ nhiên, "nghiệp vụ" của họ vẫn có thể chiến thắng nhưng xác suất lần này là rất thấp. Các "thiết bị chuyên dụng" của C15 có tìm cũng thấy và chỉ thấy random data mà thôi.

Vậy tôi có thể an tâm ư? Vâng bạn có thể an tâm về sự riêng tư của mình nhưng tôi không đảm bảo được sự an toàn cho cá nhân bạn. Bởi lẽ, muốn an toàn thì tốt nhất đừng phạm tội.

(bài viết này chỉ là giả tưởng, đừng bắt chước làm theo. Bạn đã được cảnh báo!)

Vụ án Huyremy

Chắc hẳn sự kiện rùm beng nhất trong giới IT "loi choi" của VN vài ngày qua là việc Cục Phòng Chống tội phạm công nghệ cao C15 kết luận Huyremy, người được mệnh danh là "hacker số 1 VN", chính là thủ phạm đã tấn công vào Chợ Điện Tử. Tuy nhiên, Huyremy phủ nhận việc này:

Tuy nhiên, Huy remy vẫn không chịu thừa nhận các bằng chứng của cơ quan điều tra về vụ tấn công vào tên miền chodientu.com ngày 23/9 và việc truyền bá văn hoá phẩm đồi truỵ thông qua website gmetal.net. Trong biên bản làm việc, Huy cho rằng "chứng cứ mà cơ quan điều tra đưa ra là không khách quan, không rõ nét."
....

Tuy nhiên, trong buổi làm việc với các cơ quan chức năng sáng 8/11, Huyremy đã không thừa nhận mình là thủ phạm thực hiện vụ tấn công vào tên miền chodientu.com. Huy đưa ra giả thiết phủ định rằng máy tính của mình đã bị hacker xâm nhập vào thông qua đường mạng Wi-fi chia sẻ kết nối
ADSL trong nhà và điều khiển máy tính của Huy làm phương tiện tấn công chodientu.com.

Ngay lập tức trên DDTH nổ ra một cuộc tranh luận dữ dội về đề tài này. Có hai luồng ý kiến chủ đạo: a) ủng hộ Huyremy và cho rằng những chứng cứ mà C15 đưa qua không thuyết phục; b) ủng hộ C15 và tin tưởng vào những chứng cứ mà C15 đưa ra để kết tội Huyremy. Tổng kết luận cứ của bên a) do zhaowie_hn đưa ra như sau:

Tóm lại là em đưa ra 2 giả thiết ngoài cái giả thiết Huy là thủ phạm ra:

1. Một hacker nào đó xâm nhập qua mạng Wifi của nhà Huy để join vào network và hack. Sau đó đưa những chứng cớ kia qua máy của Huy. Cũng không loại trừ khả năng người đó chiếm quyền điều khiển của máy Huy ( qua LAN ) và dùng chính máy đó để tấn công, có thể là remote desktop, VNC hoặc biến máy Huy thành một proxy server và connect qua đó.

2. Máy Huy bị điều khiển từ xa, qua External IP, cái này thì cần xem độ bảo mật của router ADSL Huy dùng và của chính máy Huy. Cái này zhaowei vẫn hay nghịch thử và cũng làm được nhiều lần nên nó hoàn toàn có khả năng xảy ra.

Luận cứ của bên b) do ls_la (tự nhận là dẫn lại lời của C15) đưa ra như sau:

Thứ nhất : Theo như Huy khai nhận thì tối hôm 22 rạng sáng 23/09 Huy cùng 3 người ngồi máy tính tại công ty suốt đêm. Máy tính của Huy lại sử dụng windows xp. Mà winxp thì khi người khác remote desktop vào, người đang dùng sẽ bị logout ngay. Chả nhẽ đang dùng mà bị logout lại không biết?

Thứ 2 : Vào ngày 11/10 khi CQDT thông báo cho Huy biết về blog vbot2006 trên yahoo có 1 friend duy nhất la ritmouse thì blog này và acc yahoo đã bị xóa ngay. Tìm trong ổ cứng của Huy cũng có thông tin về vbot2006 trong khi đó Huy nói là không hề biết gì về vbot2006. Nếu thằng nào đó muốn đổ tội cho Huy thì không đời nào nó đi xóa cái vbot2006 đi. Vì vậy chắc chắn chính Huy xóa đi để xóa dấu vết.
Thứ 3 : Huy chỉ có 3 cái máy cà tàng. Do mẹ của Huy cho 10 triệu để mua, thì dùng wifi làm gì. Nếu có wifi thì đặt trên tầng 3, ngoài đường khó có ai có thể truy cập. Đây là hành động biện minh cho hành vi phạm tội của Huy.

Thứ 4 Một user đã được tạo trên máy peacesoft.net . Trong khi tìm trong HDD máy của Huy có file backdoor để nâng quyền cho chính acc này.Đường dẫn peacesoft.net/.../file backdoor + user được tạo + các lệnh để nâng quyền. Đường dẫn này được C15 tìm thấy trong ổ cứng của Huy .Các đường dẫn này nằm trong Unlocation của ổ cứng vì nó được máy tình ghi lại trong lúc Huy truy cập vào file backdoor.

Thứ 5: tên file data_backup_all_1809.rar được tìm thấy ở trong 2 trên tất cả 3 ổ cứng của Huy (mới lấy dữ liệu của 2 ổ). Tất cả các ổ cứng đều được niêm phong có sự chứng kiến và chữ ký của Huy.Nếu Huy không phải là thủ phạm thì lấy đâu ra tên file này?

Thứ 6 : Nguyên nhân tại sao sau 1 tháng C15 mới đưa ra kết luận là vì họ phải theo một việc khác quan trọng hơn . Không thể tập trung điều tra vụ việc này

Thứ 7 : Có một lần bị gọi lên CQDT làm việc , Huy đã phải xin về nhà để "Suy Nghĩ". C15 đã cho Huy về để "nghĩ " C15 có ghi âm lại buổi làm việc hôm đó. Sau buổi này thì Huy có cafe với 2 người nữa để bàn cách đối phó (C15 có chứng cứ về việc này).

Thứ 8 : Máy chủ peacesoft.net cài 2 hệ điều hành lên cả C và D, vào thời điểm bị hack , máy chủ đang chạy windows trên ổ D, nhưng Huy tưởng nhầm và xóa event log trong ổ C.

Thứ 9 : Việc ps lấy lại domain nhanh là do chat với bên support của register, tiếp theo register đã yêu cầu ps gọi điện và scan credit card gửi cho register. Việc này đã được ps thực hiện rất nhanh. và register đã khôi phục lại tên miền.

Thứ 10 : Về acc vbot2006 được addsign vào acc binhnh trên register , có một địa chỉ email trong vbot2006 là athingcn@yahoo.com mà addsign user vbot2006 thì phải vào email athingcn@yahoo.com để confirm. Huy đã không cãi được và đưa ra lý do là ai đó "hack" email của Huy trong buổi làm việc với CQDT nagyf 08/11
Thứ 11 : Và remote qua user mssql thì có lẽ zhaowei_hn đã quá rõ về cái user này rồi còn gì. Đâu cần hack gì. Như vậy C15 có thể gọi zhaowei_hn lên để thẩm vấn. zhaowei_hn đang bị nghi là tòng phạm.'

Cứ cho là máy tính của Huyremy bị người khác lợi dụng để tấn công vào máy chủ của PeaceSoft. Vậy luật pháp Việt Nam qui định như thế nào về trường hợp này? Tôi đưa ra một tình huống như thế sau để mọi người so sánh thử: A là chủ sở hữu đăng kí của một chiếc xe máy. Người ta thấy chiếc xe máy đó (biển số, màu xe, loại xe) đụng người khác rồi bỏ chạy. Cảnh sát điều tra, lần ra được A. A không thừa nhận hành vi phạm tội của mình với lý do là ai đó đã: a) mượn xe máy của A; b) đánh cắp xe máy của A. Câu trả lời của cơ quan điều tra sẽ là: chúng tôi không cần biết ai là người điều khiển chiếc xe thời điểm gây ra tai nạn. Anh là người chủ sở hữu của chiếc xe, nghĩa là anh sẽ chịu trách nhiệm trước pháp luật về những gì chiếc xe của anh gây ra. Việc chứng minh người khác sử dụng chiếc xe của anh vào lúc gây ra tai nạn là nhiệm vụ của anh, không phải của chúng tôi. Nếu anh muốn chứng minh mình vô tội, anh phải tìm ra được người đã mượn hay đánh cắp xe của anh đồng thời trình ra được chứng cứ ngoại phạm của mình. Trở lại với trường hợp của Huyremy. Huyremy là chủ sở hữu máy vi tính, đường dây ADSL kết nối đến FPT (hay là địa chỉ IP) đã tấn công vào Chợ Điện Tử. Không cần biết ai đã sử dụng chúng, Huy vẫn luôn là người phải chịu trách nhiệm chính. Muốn chứng minh mình vô tội, Huy cũng phải đưa ra chứng cứ ngoại phạm kèm với bằng chứng máy tính của mình bị tấn công rồi từ đó bị lợi dụng để làm cầu nối đến hệ thống của Peacesoft.

Đấy là bàn về khía cạnh pháp lý, nếu bàn về kĩ thuật đơn thuần thì có thể thấy rằng, trước những chứng cứ mà C15 đưa ra, Huyremy khó mà chối bỏ được hành vi phạm tội của mình. Một điều buồn cười là rất nhiều người ngạc nhiên tại sao "hacker số 1 VN" lại để lại quá nhiều chứng cứ như vậy.

Trước tiên cần phải công nhận là C15 có nghề. Qua những gì ls_la trình bày, tôi cảm nhận rằng C15 biết cách làm computer forensics. Hãy cùng nhìn lại lý do thứ 5 mà ls_la đưa ra:

tên file data_backup_all_1809.rar được tìm thấy ở trong 2 trên tất cả 3 ổ cứng của Huy (mới lấy dữ liệu của 2 ổ). Tất cả các ổ cứng đều được niêm phong có sự chứng kiến và chữ ký của Huy. Nếu Huy không phải là thủ phạm thì lấy đâu ra tên file này?

ls_la cũng nói thêm về việc niêm phong ổ cứng:

Cơ quan điều tra copy ổ cứng thu được vào một thiết bị chuyên dụng readonly (thiết bị này không làm thay đổi dữ liệu). Sau đó niêm phong tang vật lại trước sự chứng kiến và chữ ký của can phạm. Nên chuyện C15 thêm chứng cứ vào ổ cứng là không thể. Chỉ thằng nào ngu mới nói là C15 thêm chứng cứ vào....

Tuy nhiên, dẫu "thiết bị chuyên dụng" của C15 ngon lành cỡ nào, nó cũng sẽ trở nên vô dụng nếu như Huyremy thực sự là "hacker số 1 VN". Mark Burnett đã viết như sau về giới hacker trong truyện The Art of Tracking nằm trong cuốn bestseller Stealing the Network: How to Own the box:

In three years I have worked in Internet security, I have learned a lot about hackers. Hackers go through stages as they develope their skills. At first, they want to impress others and be accepted. Consequently, they do lame stuff like defacing Web sites and boasting of their hacks in public chat rooms. This is the stage where many hackers get caught, although they are usually scared enough to take some measures to conceal their real IP address. As their skills increase, they move onto more sophisticated hacks and become a little more subdued - bragging only to their close circle of friends. Yet, something strange happens at this point. They gain this superhuman ego and begin to think they'll never get caught, so they attempt bold attacks from their own IP address. Eventually, if they still haven't been arrested, they become master hackers and confide in maybe only one other person. Oddly enough, master hackers once again they care to conceal their identity, but now they do it because they're wiser, not because they fear.

Rõ ràng Huyremy "neither wise nor scared enough". Nếu bạn là Huyremy thì bạn sẽ làm gì để "conceal your identity"?

Truy tìm thủ phạm 2

Tui hoang mang vì một lẽ con đường khả dĩ nhất đi vào server, phù hợp nhất với những giả định và lập luận của tui không phải là con đường mà kẻ xâm nhập đã chọn. Điều làm tui lo lắng nhất chính là khả năng kẻ xâm nhập là một tay cao thủ và hắn đang chơi trò "mèo vờn chuột". Đối mặt với một tay có khả năng "lai vô ảnh, khứ vô hình" là một điều thú vị nhưng tui e rằng mình vẫn chưa đủ "cao tay ấn" để mà "chơi" với hắn. Khi đó điều tệ hại nhất không phải là không xác định được ai là thủ phạm mà là xác định nhầm đối tượng.

Thật sự từ khi bắt đầu điều tra, mặc dù tui luôn giả định kẻ xâm nhập là một tay mơ nhưng thú thật tui chưa bao giờ tin tưởng tuyệt đối những gì mà mình thấy trên server. Trong đầu tui tồn tại hai tư tưởng: a) cứ phân tích dựa theo những gì mình thấy để nhanh chóng tìm ra thủ phạm; b) paranoid, paranoid, paranoid, thủ phạm đang lừa mình vô tròng đó! Vì nôn nóng và hiếu thắng nhất thời, tui đã chọn cách làm thứ nhất để rồi lâm vào tình trạng bế tắc. Phải paranoid! Tui đã được "dạy dỗ" như vậy từ khi mới chân ướt chân ráo mày mò học bảo mật.

Tui bắt đầu rà soát lại điểm mấu chốt trong lập luận của mình. Nhắc lại, vì file index.html có permission mode là 0644 với owner và group là hippie/hippie mà user hippie lại không có quyền shell nên tui đã suy ra rằng chỉ có hai hướng để kẻ xâm nhập thay đổi file này: a) chiếm được quyền root trên server; b) lấy được password user hippie rồi thông qua ftp để upload file lên ghi đè file index.html. Như mọi người đã thấy ở phần 1, giả thuyết b) mà tui đưa ra (và hết sức tin tưởng) đã hoàn toàn phá sản. Như vậy chỉ còn lại khả năng kẻ xâm nhập đã chiếm được quyền root trên server.

Có thể đơn giản bằng cách nào đó (cài keylogger trên máy tính ở Thụy Du chẳng hạn), kẻ xâm nhập chôm được mật khẩu root của server, hoặc phức tạp hơn, hắn khai thác một lỗi bảo mật nào đó trong cái đám service đang chạy hoặc trong chính cái kernel mà server đang sử dụng. Bằng cách nào đi chăng nữa thì việc kẻ tấn công chiếm được quyền root là hết sức nguy hiểm. Có thể ngay lúc này đây, thông qua một con rookit -5- nào đó, hắn đang ung dung theo dõi những bước điều tra của tui từ đầu đến giờ và cười sảng khoái khi thấy tui lâm vào đường cùng. Tui thót giật mình khi nghĩ đến điều rất-có-khả-năng-là-sự-thật này :-((! Tui nhanh chóng download, cài đặt và chạy bộ công cụ chkrootkit. Chẳng có rootkit nào được phát hiện trên server. Một câu hỏi được đặt ra, liệu kết quả này có đáng tin hay không? Ai biết được kẻ cao thủ mà tui đang đối mặt đã có kế hoạch ứng phó với chkrootkit từ trước hay không? Nói như vậy không có nghĩa là chkrootkit hoàn toàn vô dụng, ít nhất nó cho tui biết khả năng mà kẻ xâm nhập là một "đại cao thủ" là cực thấp.

Có rất nhiều loại attacker, thượng vàng hạ cám đều có đủ. Loại attacker có khả năng chiếm quyền root trên server rồi cài đặt rootkit có sẵn lên đó thì nhiều, nhưng loại attacker có khả năng đánh lừa cả chkrootkit thì tui cho là rất ít. Cộng thêm yếu tố là người VN và hành động deface nữa thì chắc chẳng còn ai. "OK, cứ tạm tin tưởng vào kết quả chkrootkit đi xem sao", tui tự nhủ.Như vậy trên server không có rookit, và chkrootkit cũng thông báo cho tui biết là lastlog -6- và wtmp -7- chưa hề bị chỉnh sửa. Như vậy có thể tạm tin vào thông tin từ lệnh last mà tui đã chạy ở trên. Tui thử chạy tiếp:

# lastlog
root pts/0 223.231.66.125 Tue Mar 21 07:22:23 -0700 2006
bin **Never logged in**
daemon **Never logged in**
adm **Never logged in**
lp **Never logged in**
sync **Never logged in**
shutdown **Never logged in**
halt **Never logged in**
mail **Never logged in**
news **Never logged in**
uucp **Never logged in**
operator **Never logged in**
games **Never logged in**
gopher **Never logged in**
ftp **Never logged in**
nobody **Never logged in**
dbus **Never logged in**
vcsa **Never logged in**
rpm **Never logged in**
haldaemon **Never logged in**
netdump **Never logged in**
nscd **Never logged in**
sshd **Never logged in**
ntp **Never logged in**
apache **Never logged in**
named **Never logged in**
webalizer **Never logged in**
cpanel **Never logged in**
mailman **Never logged in**
mysql **Never logged in**
yeahlap pts/0 58.186.121.22 Mon Mar 20 00:37:55 -0700 2006
hippie **Never logged in**
clamav pts/1 58.186.41.101 Thu Feb 16 20:29:59 -0700 2006

Như vậy có thể thấy chỉ có 3 user từng ssh vào server là root, yeahlap và clamav. Tui nhanh chóng kiểm tra user clamav

# cat /etc/passwd | grep clamav
clamav:x:32003:504::/usr/local/clamav:/bin/false

Chà lạ nhỉ, user clamav này chẳng có shell mà sao lastlog lại thông báo là nó đã login vào server lúc Thu Feb 16 20:29:59 -0700 2006? User clamav chắc hẳn dùng để chạy ClamAV, phần mềm GPL chống virus trên mail server rất nổi tiếng. Mail server được sử dụng trên server là Exim, chắc thằng này đi kèm với Cpanel. Tui đoán không sai, có cả SpamAssassin để chống spam nữa. Hiện tại trên server đang chạy clamd daemon, nó chẳng listen trên tcp/ip socket nào mà sử dụng unix domain socket nằm ở /var/clamd. Thằng ClamAV này được cài đặt từ source, do đó một giả thuyết được đặt ra là tay Administrator lúc tạo user clamav đã cho user này một cái shell, một cái password (vẫn còn nằm trong /etc/shadow). Sau khi đã hoàn thành việc cài đặt, tay Admin mới bỏ cái shell đó đi, và disable luôn cái account bằng lệnh passwd -l clamav (bằng chứng là field chứa password trong /etc/shadow có kí tự "!" đứng đầu). Chắc hẳn tay Administrator làm theo một cái HOWTO nào đó. Có thể tạm tin tưởng là vậy bởi thời điểm 16/02/2006, bạn tui vẫn chưa tiếp nhận server này. Bạn tui cho hay anh ấy order server này hồi đầu tháng 02/2006 và đến khoảng 20/02/2006 thì bên công ti hosting mới setup xong và giao server lại cho anh.

Như vậy chỉ còn 2 user là root và yeahlap đã từng truy cập vào server. Thông tin output của lastlog cũng rất phù hợp với output của last. Shell của yeahlap:

# cat /etc/passwd | grep yeahlap
lapyeah:x:32004:505::/home/yeahlap:/usr/local/cpanel/bin/jailshell

Jailshell hưh? Search một vòng trên Google thì thấy như vầy:

Jailshell is a very limited shell that allows clients to logon to your server via SSH. It limits them to their home directories, keeping the rest of your files on your server from being viewed. Use caution when giving users shell accounts on your server, as it's likely possible to breakout of the jailshell.

Đọc cái dòng "it's likely possible to breakout of the jailshell" nghe thấy ớn quá. Như vậy cũng có khả năng kẻ xâm nhập chôm được mật khẩu yeahlap từ cafe Thụy Du, login vào server qua ssh, rồi "breakout of the jailshell", tiếp theo là get root, và deface.

Tui tổng kết lại các khả năng có thể xảy ra:

a) chôm mật khẩu root, login vào server rồi deface

b) chôm mật khẩu yeahlap, login vào server, break out of jailshell, get root rồi deface.

c) khai thác một lỗi nào đó trong các service chạy trên server hoặc ngay chính cái kernel đang được sử dụng, get root rồi deface

Còn gì nữa không ta? Tui chợt nhớ đến scp và sftp -8-. Số là tui không có cảm tình với ftp, nên mặc dù trên server có ftp service nhưng do thói quen, tui sử dụng scp để chép một số file log về desktop để tiện tìm hiểu và chợt nhật ra một thiếu sót là kẻ tấn công vẫn còn một hướng khác:

d) chôm mật khẩu root, sử dụng scp ghi đè lên file index.html để deface.

Đây chỉ là 4 trong số rất nhiều khả năng khác có thể xảy ra, tui tự nhủ.

(còn tiếp)

Bật mí kì cuối: chu choa ơi, thằng attacker nó chẳng sử dụng cái cách nào trong 4 cách trên hết. Ai đó thử đoán xem nó làm thế nào để deface mà: không có quyền root và user hippie không có shell?

---chú thích---

-5-: rootkit là thuật ngữ dùng để chỉ những phần mềm giúp kẻ xâm nhập che dấu tung tích của hắn khi "ẩn mình" trong một hệ thống máy tính nào đó. Tham khảo thêm http://en.wikipedia.org/wiki/Rootkit

-6-: tham khảo "man lastlog"

-7-: tham khảo "man last"

-8-: sftp là một phần của bộ giao thức ssh, giúp truyền file một cách an toàn bằng cách mã hoá dữ liệu truyền đi trên mạng. Tham khảo "man scp"

Truy tìm thủ phạm 1

Hello bà con,

Mấy tháng nay công việc bù đầu, rồi thêm HVAOnline up/down liên tục thành ra thaidn tui chẳng viết được một bài nào cho "ra đầu ra đũa" cả. Cách đây 2h đồng hồ, một người bạn gọi điện cho hay là website của anh ấy vừa bị deface, nhờ tui tìm hiểu thử xem sự thể như thế nào. Sẵn máu forensic đã có trong người từ rất lâu, tui hâm hở nhận lời. Vầ dưới đây là toàn bộ câu chuyện -0-...

Trước khi bắt đầu, xin cho tui được "tâm sự" vài lời. Mặc dầu rất mê cái món forensic nhưng mà đây là lần đầu tiên tui có cơ hội phân tích, điều tra một vụ xâm nhập (chẳng biết hên hay xui nữa :D). Tui đã đọc qua một số cuốn sách nói về computer forensic và tự thấy rằng phương pháp mà tui áp dụng ở dưới đây là rất thiếu bài bản và sự chuyên nghiệp cần có trong công tác điều tra, do đó rất mong nhận được sự đóng góp, chỉ bảo từ các anh chị có nhiều kinh nghiệm trong lĩnh vực này. Vấn đề thứ hai mà tui muốn đề cập là đạo đức trong việc kinh doanh. Mong là những người đứng ngoài sau phá phách này ngộ ra được và chấm dứt những hành động bẩn thỉu của mình trước khi quá muộn. Ok, dài dòng xong rồi, giờ chúng ta bắt đầu.

Ngay khi nhận được tin báo, việc đầu tiên tui yêu cầu bạn tui phải làm là đổi hết tất cả các mật khẩu, từ mật khẩu email cá nhân, mật khẩu tài khoản quản trị diễn đàn cho đến mật khẩu root trên server cũng như các tài khoản khác; đồng thời giữ nguyên hiện trạng server -1- cho đến khi tui truy cập vào nó để điều tra. Đây là hai phản ứng cơ bản mà tui đọc được trong các cuốn sách nói về incident response. Tui nhanh chóng hoàn thành các bài tập gym rồi chạy về nhà và truy cập vào server liền. Tui cho là trong những trường hợp như thế này, thời gian giữ một vai trò rất quan trọng, càng sớm tiếp cận được hiện trường vụ án thì cơ hội thu thập được nhiều thông tin giá trị càng cao.

Đó là một dedicated server chạy LAMP -2-, đặt tại Mỹ, bạn tui thuê của một công ti Việt Nam để host một diễn đàn khá lớn về âm nhạc. Trao đổi với anh bạn, tôi được biết là vụ tấn công xảy ra lúc khoảng 4h-5h chiều. Bình thường khi user truy cập vào trang chủ, họ sẽ tự động được chuyển sang diễn đàn, nhưng chiều nay file index.html của anh đã bị thay đổi với nội dung như sau:

hacked by cana_ximuoi

chiu kho update thuong xuyen may loi bao mat moi cua webserver, ftp nhe admin, lan sau la mat sach data day

Có một cái gì đó bất thường, tui chợt nghĩ. Nếu như kẻ xâm nhập đã có nhã ý muốn nhắc nhở bạn tôi cần phải quan tâm hơn đến vấn đề bảo mật thì tui nghĩ họ đã không chọn cách làm thiếu văn hóa như thế này. Còn nếu như kẻ xâm nhập có dụng ý phá hoại thì chắc hẳn họ đã phô trương bản thân và chửi bới nhiều hơn, điều thường gặp ở những người nghĩ là họ thông minh hơn người khác. Dẫu là ai đi chăng nữa, với hành động deface như vầy, có vẻ kẻ xâm nhập không phải là một tay cừ khôi, âu cũng là một điều đáng mừng ;-).

Vừa login vào server, tui liền chạy lệnh:

# date
Tue Mar 21 12:02:57 GMT+7 2006

# last
root pts/0 223.231.66.125 Tue Mar 21 07:22 - still logged in
yeahlap pts/0 58.186.121.22 Mon Mar 20 00:37 - 00:40 (00:02)
root pts/0 222.253.137.62 Thu Mar 16 05:41 - 05:46 (00:04)
root pts/0 220.231.71.115 Sun Mar 12 10:13 - 10:38 (00:24)
root pts/0 222.253.151.186 Sat Mar 11 22:52 - 22:55 (00:02)
root pts/0 222.253.151.186 Sat Mar 11 22:17 - 22:17 (00:00)
root pts/1 222.253.144.24 Fri Mar 10 13:02 - 13:04 (00:01)
root pts/1 222.253.144.24 Fri Mar 10 12:48 - 12:55 (00:06)
root pts/1 222.253.144.24 Fri Mar 10 12:46 - 12:48 (00:02)
root pts/0 220.231.79.201 Fri Mar 10 12:29 - 13:54 (01:24)
root pts/0 222.253.150.142 Thu Mar 9 21:58 - 21:59 (00:00)
root pts/0 220.231.64.90 Thu Mar 9 10:25 - 10:29 (00:04)
root pts/0 222.253.127.115 Thu Mar 9 10:18 - 10:25 (00:06)
root pts/0 222.253.127.115 Thu Mar 9 10:13 - 10:17 (00:04)
root pts/0 222.253.127.115 Thu Mar 9 10:08 - 10:12 (00:04)
root pts/0 222.253.132.70 Thu Mar 9 04:28 - 04:29 (00:00)
root pts/1 221.133.4.5 Thu Mar 9 00:52 - 02:56 (02:04)
root pts/0 222.253.128.195 Thu Mar 9 00:48 - 00:57 (00:08)
root pts/0 222.253.146.9 Thu Mar 9 00:26 - 00:33 (00:06)
root pts/1 220.231.94.18 Wed Mar 8 12:24 - 15:10 (02:46)
root pts/0 222.253.146.9 Thu Mar 9 00:26 - 00:33 (00:06)
root pts/1 220.231.94.18 Wed Mar 8 12:24 - 15:10 (02:46)
root pts/0 222.253.120.248 Wed Mar 8 11:51 - 12:25 (00:33)
reboot system boot 2.6.9-22.0.2.EL Wed Mar 8 06:42 (13+05:14)
reboot system boot 2.6.9-22.0.2.EL Wed Mar 8 06:35 (00:06)
root pts/0 222.253.90.239 Sat Mar 4 21:12 - 21:41 (00:29)
root pts/0 222.253.120.248 Wed Mar 8 11:51 - 12:25 (00:33)
reboot system boot 2.6.9-22.0.2.EL Wed Mar 8 06:42 (13+05:14)
reboot system boot 2.6.9-22.0.2.EL Wed Mar 8 06:35 (00:06)
root pts/0 222.253.90.239 Sat Mar 4 21:12 - 21:41 (00:29)
root pts/0 222.253.90.239 Sat Mar 4 21:01 - 21:08 (00:07)
root pts/0 222.253.90.239 Sat Mar 4 20:38 - 21:01 (00:22)
reboot system boot 2.6.9-22.0.2.EL Fri Mar 3 22:28 (4+08:05)
reboot system boot 2.6.9-22.0.2.EL Fri Mar 3 22:08 (00:19)
reboot system boot 2.6.9-22.0.2.EL Fri Mar 3 21:58 (00:08)
reboot system boot 2.6.9-22.0.2.EL Fri Mar 3 21:50 (00:07)
reboot system boot 2.6.9-22.0.2.EL Fri Mar 3 21:40 (00:09)
reboot system boot 2.6.9-22.0.2.EL Fri Mar 3 11:03 (10:35)
wtmp begins Fri Mar 3 11:02:19 2006

Lệnh thứ nhất cho tui biết ngày giờ trên server, từ đó tui sẽ tính ra được độ chênh lệch giữa múi giờ trên server và múi giờ ở Việt Nam, trong trường hợp này là 14 giờ, nghĩa là server được đặt ở vùng GMT -7. Đây là một yếu tố cực kì quan trọng, nó sẽ giúp ích rất nhiều trong công tác event correlation -3-. Như vậy, nếu tính theo giờ server, chắc hẳn website của bạn tui đã bị deface trong khoảng Mar 21 02:00:00 GMT -7 đến Mar 21 03:00:00 GMT -7. Lệnh thứ hai cho tui biết ai đã truy cập vào máy chủ kể từ Fri Mar 3 11:02:19 2006. Dòng đầu tiên cho thấy một người truy cập vào lúc Tue Mar 21 07:22 và vẫn còn đang ở trong server. Kẻ đó chính là...tui. Chà, ngoài tui ra, chẳng có ma nào ssh vào server trong ngày Mar 21 cả. Như vậy có vẻ kẻ xâm nhập không vào server (và từ đó thay đổi nội dung file index.html) qua đường ssh. Một câu hỏi tự nhiên được đặt ra: ngoài ssh, còn có con đường nào khác đi vào server này?

Trước đây, tui đã có vài lần giúp giải quyết sự cố trên server này thành ra nó cũng tương đối quen thuộc với tui. Ngoài ssh ra, server này còn chạy các dịch vụ: cpanel, ftp (sử dụng pureftpd), smtp/pop3 (sử dụng exim) và http (sử dụng apache). Đó là nói về dịch vụ, về phía user thì ngoài root và yeahlap như đã thấy ở trên, server này còn một user là hippie. Có hai website được host trên server này, mỗi website tương ứng với hippie và yeahlap. Website bị deface chính là website của hippie. Ngó nghiêng qua /etc/passwd thì tui thấy:

yeahlap:x:32004:505::/home/yeahlap:/usr/local/cpanel/bin/jailshell
hippie:x:32007:508::/home/hippie:/usr/local/cpanel/bin/noshell

Chà, user hippie không có shell -4-! Phản xạ tự nhiên, tui chạy:

# ls -l /home/hippie/public_html/index.html
-rw-r--r-- 1 hippie hippie 702 Mar 21 04:18 /home/hippie/public_html/index.html

Chà, file index.html này có permission là 644 với owner là hippie, mà thằng hippie lại chẳng có shell, vậy muốn thay đổi nó thì thằng attacker phải hoặc a) chiếm được quyền root trên server hoặc b) lấy được password user hippie rồi thông qua ftp để upload file lên. Đó là hai hướng tấn công mà tui nghĩ đến đầu tiên. Tui nghiêng về hướng thứ hai hơn, đơn giản vì như tui đã nói, tui không nghĩ kẻ xâm nhập là một tay lành nghề đủ khả năng chiếm được quyền root trên server. Nếu hắn chôm được password root thì hằn cũng chẳng thể ftp vào được server bởi vì mặc định các ftp daemon đều không cho phép account root đăng nhập. Mà như đã thấy ở trên, chẳng có ma nào ssh vào server trong ngày 21/03/2006 trừ tui ra. Dĩ nhiên khi có quyền root thì kẻ xâm nhập có thể xóa sạch tất cả những dấu vết mà hắn để lại trên server, nhưng chẳng ai dày công làm như vậy chỉ để hăm dọa một người không rành về máy tính như bạn của tui.

Bạn tui cho biết ngày 20/03/2006, anh có ra chơi ở tiệm cafe Thụy Du trên đường Lý Chính Thắng, chỗ đó nổi tiếng là có nhiều "hacker", cho nên khả năng bị ai đó chôm mật khẩu là rất lớn. Một tay rỗi hơi nào đó cài vài ba con keylogger lên các máy tính ở Thụy Du và rồi vô tình vớ được mật khẩu của hippie khi bạn tui upload file lên server. Là một Google "hacker", hắn chẳng biết làm gì với một cái account của một server Linux, hắn bèn "mua vui" bằng cách deface cho bỏ công chôm chia. Nghe cũng hợp lý chứ nhỉ?

Tui có sử dụng pure-ftpd từ trước nên biết rõ là thằng này nó lưu thông tin log vào thẳng syslog /var/log/messages. Tui vớ lấy cái đám /var/log/messages* "nóng hổi", rồi chạy các lệnh sau:

# cat /var/log/messages | grep index.html | grep "Mar 21"
Mar 21 04:17:45 server pure-ftpd: (hippie@222.253.127.219) [NOTICE] /home/hippie//public_html/index.html downloaded (206 byte, 3801.33KB/sec)
Mar 21 04:18:13 server pure-ftpd: (hippie@222.253.127.219) [NOTICE] /home/hippie//public_html/media/index.html downloaded (702 byte, 15570.32KB/sec)
Mar 21 04:18:35 server pure-ftpd: (hippie@222.253.127.219) [NOTICE] /home/hippie//public_html/index.html uploaded (702 byte, 2.14KB/sec)

Lệnh trên giúp tui lấy ra tất cả những dòng thông báo của pure-ftpd có liên quan đến file index.html trong ngày 21/03/2006. Kết quả như mọi người đã thấy, đầu tiên vào lúc Mar 21 04:17:45 (nghĩa là khoảng 6h chiều giờ VN) file index.html được download xuống, rồi sau đó nó được upload lên liên tục hai lần vào lúc Mar 21 04:18:13 và Mar 21 04:18:35.

Những con số được tô màu chính là kích thước của file index.html tại từng thời điểm. Như vậy đã rõ, cả 3 lần upload/download này đều là do bạn tui thực hiện sau khi website bị deface. Lần đầu anh download file index.html đã bị sửa đổi, file này có kích thước là 206 byte. Lần hai và ba anh upload lại file nguyên mẫu ban đầu, có kích thước là 702 byte. Chà, sao chẳng thấy ai upload file index.html có kích thước 206 byte lên hết nhỉ? Để chắc ăn, tui kiểm tra mớ log file lại một vài lần nữa nhưng vẫn không tìm thấy bất cứ thông tin gì liên quan đến file index.html ngoài 3 lần ở trên. Tui bắt đầu hoang man, phải chăng tui đã đánh giá quá thấp đối thủ của mình?

(còn tiếp)

---
Ghi chú
-0-: Thật ra tôi đã cố tình chỉnh sửa, thêm thắt, làm cho câu chuyện hấp dẫn và dài thêm một chút để tiện trình bày những điều tôi muốn gửi đến người đọc.

-1-: Lẽ ra lời khuyên phải là tắt server đó ngay. Những chứng cứ trên server sẽ trở nên vô nghĩa trước pháp luật nếu như server vẫn tiếp tục hoạt động ngay sau khi bị phát hiện tấn công. Tuy nhiên trong trường hợp này, do anh bạn tôi chỉ có một server duy nhất và anh ấy cũng không có ý định kiện tụng ai cả, nên tôi chỉ yêu cầu anh ta không được thay đổi gì trên server.

-2-: LAMP là thuật ngữ dùng để chỉ các server chạy hệ điều hành Linux, website Apache, máy chủ database MySQL và sử dụng PHP để làm web-application.

-3-: event correlation là quá trình chỉ ra sự tương quan giữa ra các sự kiện khác nhau trên các thành phần khác nhau trong cùng một hệ thống hoặc trên các hệ thống khác nhau. Sự tương quan này sẽ giúp cho điều tra viên có được cái nhìn toàn cảnh về những gì đã diễn ra trên toàn hệ thống trước, trong và sau vụ tấn công. Có được thông tin về múi giờ chính xác là điều kiện tiên quyết để có thể tiến hành công tác event correlation.

-4-: shell tương ứng với khả năng đăng nhập và làm việc (thông qua rsh hoặc ssh) trên một server *nix. Có shell trên một server nghĩa là có khả năng đăng nhập và làm việc trên server đó và ngược lại.