🔒 Chapter 11 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: নিজস্ব debug build-এ certificate validation/pinning flow ব্যাখ্যা করো।
Defense checkpoint: Pin rotation ও backup strategy রাখো; brittle pinning এড়িয়ে চলো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

🛡️ গল্প ১: ব্যাংকের সিকিউরিটি গার্ড ও জাল পাসপোর্টের গল্প

কল্পনা করো, তুমি একটা হাই-সিকিউরিটি ব্যাংকে ঢুকতে যাচ্ছো। সাধারণ ব্যাংকে ঢুকতে গেলে যে কারো সরকারি ভোটার আইডি কার্ড দেখালেই হয় (এটা হলো সাধারণ HTTPS, যেখানে সিস্টেমের CA সার্টিফিকেট ট্রাস্ট করা হয়)।

কিন্তু এই ব্যাংকটি এতটাই কড়া যে তারা কোনো সরকারি আইডি কার্ড বিশ্বাস করে না! তারা বলে — "আমাদের ব্যাংকের ভেতরে শুধু তারাই ঢুকতে পারবে যাদের পাসপোর্টে আমাদের নিজস্ব ম্যানেজারের গোপন সিলমোহর আর ফিঙ্গারপ্রিন্ট আছে!"

অ্যাপের জগতে একেই বলে SSL Pinning। Meesho বা যেকোনো ব্যাংকিং অ্যাপের ভেতরে তাদের নিজস্ব সার্ভারের পাবলিক কি (Public Key) বা সার্টিফিকেট হার্ডকোড করে ঢুকিয়ে দেওয়া থাকে। তুমি ফোনে যতই HTTP Toolkit বা Reqable-এর সার্টিফিকেট ইনস্টল করো না কেন, অ্যাপ বলবে: "এটা আমার আসল সার্ভার নয়, ফেক!" আর সাথে সাথে কানেকশন বন্ধ করে দেবে।

⚡ গল্প ২: বৃষ্টি ম্যামের জাদুকরী ট্রিক — গার্ডকে ঘুম পাড়ানো

সৌরভ জিজ্ঞেস করল, "বৃষ্টি ম্যাম, তাহলে আমরা কীভাবে Meesho বা ব্যাংকিং অ্যাপের ডাটা দেখব?"

বৃষ্টি ম্যাম হেসে বললেন, "সৌরভ, ব্যাংকের গার্ড যদি ব্যাংকের ভেতরের লোককেই চিনে ভেতরে ঢুকতে দেয়, তাহলে গার্ডের মাথায় এমন একটা হিপনোটিক চিপ ঢুকিয়ে দাও যেন সে সব পাসপোর্টকেই আসল মনে করে!"

রিভার্স ইঞ্জিনিয়ারিংয়ে এই হিপনোটিক চিপের নাম হলো Frida Dynamic Hook! আমরা অ্যাপকে বলি — যখন তোমার ভেতরের TrustManagerImpl.checkServerTrusted() ফাংশনটি কল হবে, তখন সার্ভারের সার্টিফিকেট আসল নাকি নকল সেটা চেক করার কোনো দরকার নেই, চোখ বন্ধ করে রিটার্ন করে দাও TRUE!

📱 গল্প ৩: OkHttp3 CertificatePinner-এর বুকে আঘাত

আধুনিক অ্যান্ড্রয়েড অ্যাপে সবচেয়ে জনপ্রিয় নেটওয়ার্ক লাইব্রেরি হলো OkHttp। এর ভেতরে থাকে CertificatePinner.java।

এর ভেতরে একটি ফাংশন থাকে:

public void check(String hostname, List<Certificate> peerCertificates) throws SSLPeerUnverifiedException

যদি সার্ভারের সার্টিফিকেটের SHA-256 পিন অ্যাপের পিনের সাথে না মেলে, তবে অ্যাপ সাথে সাথে ক্র্যাশ করে। কিন্তু ফ্রাইডা দিয়ে আমরা মাত্র ৪ লাইনে এই ফাংশনটির মুখ বন্ধ করে দিতে পারি:

var CertificatePinner = Java.use("okhttp3.CertificatePinner");
CertificatePinner.check.overload('java.lang.String', 'java.util.List').implementation = function(str, list) {
    console.log("🔥 [BYPASSED] OkHttp Certificate check silenced for: " + str);
    return; // কোনো এরর ছুড়বে না!
};

🛠️ গল্প ৪: বাস্তব জীবনের ৩টি বাইপাস অস্ত্র (Arsenal)

বৃষ্টি ম্যাম সৌরভকে ৩টি শক্তিশালী টুলের কথা বললেন যা দিয়ে যেকোনো পিনিং এক তুড়িতে ভাঙা যায়:

১. Magisk + JustTrustMe / TrustMeAlready: রুটেড ফোনে Xposed/LSPosed মডিউল অন করলেই সিস্টেম লেভেলে ৯৫% অ্যাপের পিনিং বাইপাস হয়ে যায়।

২. Frida Universal SSL Pinning Script: ওপেন-সোর্স স্ক্রিপ্ট যা ওপেনএসএসএল, বোরিংসএসএল, ট্রাস্টকিট ও ওকএইচটিটিপির সকল মেথড এক ক্লিকে হুক করে।

৩. APK Re-compilation (Network Security Config): JADX দিয়ে ডিকম্পাইল করে res/xml/network_security_config.xml ফাইলে <trust-anchors><certificates src="user" /></trust-anchors> যুক্ত করে apk-কে রি-সাইন করা!

🎯 Chapter 11 কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সবুজ/লাল + ব্যাখ্যা!

❓ প্রশ্ন 1: SSL Pinning কী?

💡 SSL Pinning = App embedded/hardcoded certificate hash check করে। System CA (HTTP Toolkit-এর) reject করে দেয়।

❓ প্রশ্ন 2: OkHttp SSL Pinning bypass করতে Frida-তে কোন class hook করবো?

💡 OkHttp3 SSL Pinning → okhttp3.CertificatePinner.check() method। Implementation empty করলে check skip।

❓ প্রশ্ন 3: Objection tool কী?

💡 Objection = Frida wrapper tool। Manual Frida script লেখার দরকার নেই — built-in commands দিয়ে SSL bypass, root detection bypass সব।

❓ প্রশ্ন 4: APKTool দিয়ে SSL bypass করার method?

💡 network_security_config.xml-এ add করলে HTTP Toolkit-এর CA trusted হয়। Root ছাড়াই কাজ করে।

❓ প্রশ্ন 5: Certificate Pinning vs Public Key Pinning?

💡 Certificate expire হলে Pinning break হয়। Public Key Pinning = key same রেখে cert renew করলেও pinning valid।

❓ প্রশ্ন 6: Frida CodeShare কী?

💡 codeshare.frida.re = community Frida scripts। 'pcipolloni/universal-android-ssl-pinning-bypass' = most popular।

❓ প্রশ্ন 7: Root ছাড়া SSL Pinning bypass-এর সেরা method?

💡 Root ছাড়া: APKTool → decompile → network_security_config.xml modify → rebuild → resign → install। Slower কিন্তু কাজ করে।

❓ প্রশ্ন 8: SSL Pinning implementation কোথায় থাকে সাধারণত?

💡 OkHttpClient.Builder().certificatePinner() call কোথায় — JADX-এ 'CertificatePinner' search করো।

❓ প্রশ্ন 9: TrustManagerImpl bypass মানে কী?

💡 TrustManagerImpl.checkTrusted() = Android SSL certificate chain verification। Empty করলে সব certificate accepted।

❓ প্রশ্ন 10: SSL Pinning bypass সফল হলে পরের কী করবো?

💡 Bypass সফল = HTTP Toolkit-এ সব API calls visible। Headers, tokens, endpoints collect করো → bot automation করো।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference