🎭 Chapter 13 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: Obfuscation কী আড়াল করে এবং analysis-এ কী সূত্র থাকে তা শনাক্ত করো।
Defense checkpoint: Obfuscation-কে secret storage ভাববে না; key ও credential আলাদা সুরক্ষিত রাখো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

🧩 গল্প ১: চীনা ভাষায় লেখা প্রেমের চিঠি — অবফাসকেশন কী?

সৌরভ JADX দিয়ে একটি বড় শপিং অ্যাপ ডিকম্পাইল করে মাথায় হাত দিয়ে বসল!

কোডের ভেতর ক্লাসের নাম: a.java, b.java, ফাংশনের নাম a(a aVar, b bVar), আর ভ্যারিয়েবলের নাম c, d, e! কোথাও কোনো সোজা ইংরেজি শব্দ নেই!

বৃষ্টি ম্যাম এক কাপ চা এগিয়ে দিয়ে বললেন, "সৌরভ, এটাকে বলে Obfuscation। ডেভেলপাররা ProGuard বা R8 নামের টুল দিয়ে কোডের সব আসল নাম বদলে ছোট ছোট ইংরেজি অক্ষরে রূপান্তর করে, যাতে হ্যাকারদের কোড পড়ে মাথা খারাপ হয়ে যায়!"

🔤 গল্প ২: স্ট্রিং এনক্রিপশন ও গোপন API পাথ

শুধু নাম বদলানোই নয়, প্রো-লেভেলের অ্যাপে কোনো স্ট্রিং প্লেইনটেক্সটে থাকে না।

সাধারণ অ্যাপে তুমি সার্চ করতে: https://api.training.example.test/order।
কিন্তু অবফাসকেটেড অ্যাপে দেখবে:

String endpoint = decrypt(new byte[]{0x4d, 0x65, 0x65, 0x73, 0x68, 0x6f}, 0x5a);

তারা XOR এনক্রিপশন বা AES দিয়ে স্ট্রিংগুলোকে হেক্স বা বাইট অ্যারে বানিয়ে লুকিয়ে রাখে যাতে রিভার্স ইঞ্জিনিয়াররা grep করে কিছু না পায়!

🔬 গল্প ৩: বৃষ্টি ম্যামের রিভার্স কৌশল — মেমোরি যখন সত্য বলে

"সৌরভ, কোড যত ইচ্ছে হিজিবিজি হোক, অ্যাপ যখন চলতে শুরু করে, তখন তো তাকে সেই স্ট্রিং ডিক্রিপ্ট করে সার্ভারে পাঠাতেই হয়!"

বৃষ্টি ম্যামের মোক্ষম টিপস:
১. Static Deobfuscator: Jadx-এর ভেতরে Deobfuscate (Rename) অন করো — Jadx নিজে থেকে অর্থপূর্ণ নাম সাজিয়ে দেবে।
২. Dynamic String Hooking: জাভার String.getBytes() বা StringBuilder.toString()-এ ফ্রাইডা হুক বসাও। অ্যাপ রান করার সময় যত এনক্রিপ্টেড স্ট্রিং ডিক্রিপ্ট হয়ে স্ট্রিংবিল্ডারে আসবে, সব তোমার স্ক্রিনে টপাটপ প্রিন্ট হয়ে যাবে!

🛠️ গল্প ৪: XOR De-obfuscation অ্যালগরিদম হাতে-কলমে

রিভার্স ইঞ্জিনিয়ারিংয়ে সবচেয়ে জনপ্রিয় এনক্রিপশন হলো XOR।

যদি A ^ Key = Cipher হয়, তবে মজার ব্যাপার হলো Cipher ^ Key = A!
অর্থাৎ একই কি দিয়ে দুইবার এক্স-অর করলেই আসল টেক্সট বেরিয়ে আসে। নিচের ল্যাবে আমরা এই এক্স-অর ডিক্রিপশন নিজে হাতে টেস্ট করে দেখব!

🎯 Chapter 13 কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সবুজ/লাল + ব্যাখ্যা!

❓ প্রশ্ন 1: Obfuscation কেন করা হয়?

💡 Obfuscation = intentional code complexity। Attacker-রা যাতে easily API keys, logic বের করতে না পারে।

❓ প্রশ্ন 2: ProGuard কোন ধরনের obfuscation করে?

💡 ProGuard name mangling করে — getAuthToken() → a()। Code logic same থাকে কিন্তু names meaningless।

❓ প্রশ্ন 3: String obfuscation bypass-এর সবচেয়ে সহজ method?

💡 Decrypt function Frida-তে hook করে return value log করলে plaintext automatically পাওয়া যায়। Static decrypt করার দরকার নেই।

❓ প্রশ্ন 4: XOR encryption কীভাবে কাজ করে?

💡 XOR-এর property: A XOR B XOR B = A। Encrypt ও decrypt same operation। Key জানলেই decrypt সম্ভব।

❓ প্রশ্ন 5: jadx --deobf flag কী করে?

💡 jadx-এর --deobf flag কিছু automated deobfuscation করে — class hierarchies থেকে names infer করে।

❓ প্রশ্ন 6: Control flow obfuscation কী?

💡 Control flow obfuscation extra dead code, opaque predicates, jump instructions দিয়ে code flow বোঝা কঠিন করে।

❓ প্রশ্ন 7: Dynamic analysis কেন static analysis-এর চেয়ে ভালো obfuscated code-এ?

💡 Obfuscated code static analysis-এ confusing। Runtime-এ actual decrypted values memory-তে থাকে — Frida দিয়ে capture করো।

❓ প্রশ্ন 8: R8 compiler কী?

💡 R8 = Android-এর default code shrinker/obfuscator (ProGuard-এর successor)। AGP 3.4+ থেকে default।

❓ প্রশ্ন 9: Deobfuscation মানে কী?

💡 Deobfuscation = obfuscated code → readable form। Fully automatic সম্ভব নয়, কিন্তু partial recovery করা যায়।

❓ প্রশ্ন 10: String literal obfuscation bypass করার Python approach?

💡 App-এর encryption logic extract করো → Python-এ implement করো → encrypted strings batch decrypt করো।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference