🔍 Chapter 10 — Shadow Academy

এই অধ্যায়ে কী শিখবে

মূল ধারণা: অধ্যায় 10
অনুমোদিত বা synthetic lab-এ ঝুঁকি শনাক্ত করে উপযুক্ত প্রতিরক্ষা বেছে নেওয়া।
নিরাপদ evidence, remediation এবং retest সংক্ষেপে নথিভুক্ত করা।

⏱ আনুমানিক সময়: ১৫–২০ মিনিট · পূর্বশর্ত: আগের অধ্যায়ের ধারণা

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: নিজস্ব sample binary-তে function, strings ও architecture metadata পড়ো।
Defense checkpoint: Binary provenance, dependency source ও analysis notes নথিভুক্ত করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

🔬 Ghidra কী? — NSA-র Secret Weapon

Ghidra = NSA (National Security Agency) তৈরি free reverse engineering tool।

JADX Java code পড়ে — কিন্তু .so (native C/C++) file পড়তে পারে না।
Ghidra .so, .exe, .dll, firmware — সব binary file analyze করতে পারে!

📁 .so File কী?

Android-এ lib/ folder-এ .so (Shared Object) files থাকে:

lib/arm64-v8a/libmeesho.so   ← 64-bit ARM (modern phones)
lib/armeabi-v7a/libmeesho.so ← 32-bit ARM (old phones)
lib/x86/libmeesho.so         ← Emulator/x86

কী থাকে?
- Encryption algorithms
- Anti-tamper logic
- Root/Frida detection
- Critical business logic

JADX এগুলো decompile করতে পারে না। Ghidra লাগবে!

🚀 Ghidra Setup ও Analysis

# Download: https://ghidra-sre.org/
# Java 17+ দরকার

# Steps:
1. File → Import File → libmeesho.so
2. Auto-analysis: Yes
3. বাম দিকে Functions list
4. Window → Decompiler (C code দেখাবে!)
5. Search → For Strings → secrets খোঁজো

🔒 Anti-Tamper Detection

অনেক app .so file-এ anti-tamper check রাখে:

// Decompiled anti-tamper check:
void checkIntegrity() {
    // APK signature verify করে
    if (getSignature() != EXPECTED_SIGNATURE) {
        // Signature মিলছে না → crash!
        abort();
    }

    // Frida detected?
    if (isFridaPresent()) {
        killProcess();
    }
}

Ghidra-তে এই function খুঁজে NOP instruction দিয়ে patch করা যায়!

🎯 Important Concepts

ARM Assembly = Android phone-এর machine language
Decompiler = binary → C-like pseudocode
Disassembler = binary → assembly instruction
NOP = No Operation — check bypass করতে function body NOP দাও
Cross-reference = কোথায় এই function call হচ্ছে দেখো

💡 Chapter 10-এর মূল শিক্ষা

🔬 Ghidra = NSA-র free RE tool — .so, .exe, firmware analyze করো
📁 .so = Native C/C++ code — JADX পড়তে পারে না
🔒 Anti-tamper = signature check + Frida detection — Ghidra-তে NOP করো
🎯 Decompiler = binary → C pseudocode (সবচেয়ে useful)
🔍 Search for Strings = secrets ও hardcoded values খোঁজো
🖐️ NOP patch = security check bypass

🔍 Binary Analyzer

Function name বা hex দাও — binary analysis simulate করে দেখাবে!

👆 উপরে কিছু দিয়ে ল্যাব চালু করো...

🎯 Chapter 10 কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সবুজ/লাল + ব্যাখ্যা!

❓ প্রশ্ন 1: Ghidra কে তৈরি করেছে?

💡 Ghidra = NSA তৈরি free, open-source reverse engineering framework। 2019-এ publicly release হয়েছে।

❓ প্রশ্ন 2: .so file কী?

💡 .so = Shared Object। C/C++ compile করা native library। Android-এর Java code-এর বাইরের performance-critical code এখানে।

❓ প্রশ্ন 3: JADX কেন .so file পড়তে পারে না?

💡 JADX = Java/Kotlin decompiler। .so = compiled ARM/x86 binary — different architecture। Ghidra binary analysis করে।

❓ প্রশ্ন 4: Ghidra-তে Decompiler কী দেখায়?

💡 Ghidra Decompiler binary → C pseudocode। Assembly বোঝা কঠিন, C pseudocode অনেক সহজ।

❓ প্রশ্ন 5: Anti-tamper check কী করে?

💡 Anti-tamper = app নিজেই check করে কেউ modify করেছে কিনা। Signature mismatch, Frida, root detected → app বন্ধ।

❓ প্রশ্ন 6: NOP instruction মানে কী?

💡 NOP = No Operation। ARM-এ 0x1F2003D5। Security check function-কে NOP দিয়ে replace করলে check skip হয়।

❓ প্রশ্ন 7: ARM assembly কী?

💡 ARM = Advanced RISC Machine। Android phone (arm64-v8a) এই instruction set use করে। .so file ARM assembly-তে compile হয়।

❓ প্রশ্ন 8: Ghidra-তে strings search করতে কোথায় যাবো?

💡 Ghidra: Search → For Strings। Hardcoded API keys, URLs, encryption keys, suspicious strings পাওয়া যায়।

❓ প্রশ্ন 9: Cross-reference (XRef) কী?

💡 XRef = Cross Reference। Function-এ right click → References → কোথায় কোথায় call হয়েছে দেখো। Context বোঝা সহজ হয়।

❓ প্রশ্ন 10: Frida ও Ghidra-র মূল পার্থক্য?

💡 Ghidra = static analysis — app না চালিয়ে binary পড়া। Frida = dynamic — app চলতে চলতে hook করা। দুটো complementary।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference