💥 Chapter 15 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: Concurrent operation-এ race condition কীভাবে data integrity ভাঙে তা ব্যাখ্যা করো।
Defense checkpoint: Atomic transaction, idempotency ও uniqueness constraint ব্যবহার করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

⏱️ গল্প ১: এটিএম বুথে দুই বন্ধুর যুগপৎ টাকা তোলার কাহিনী

সৌরভ ও তার বন্ধু এক মজার পরীক্ষা করার কথা ভাবল। সৌরভের ব্যাংক অ্যাকাউন্টে আছে মাত্র ৫০০ টাকা।

সৌরভ ঢুকল ব্রাঞ্চের একদিকের এটিএম বুথে, আর তার বন্ধু ঢুকল অন্যদিকের বুথে। ঘড়ির কাঁটা মিলিয়ে তারা উভয়েই ঠিক একই মিলিসেকেন্ডে "৫০০ টাকা উইথড্র" বাটনে চাপ দিল!

ব্যাংকের ডাটাবেস যখন চেক করতে গেল, সার্ভার সৌরভের রিকোয়েস্ট দেখে বলল — "ব্যালেন্স ৫০০ টাকা আছে, দিয়ে দাও।" আর ঠিক একই মাইক্রোসেকেন্ডে বন্ধুর রিকোয়েস্টেও ডাটাবেস ব্যালেন্স দেখল ৫০০ টাকা, কারণ সৌরভের টাকা কাটার আপডেট তখনও ডাটাবেসে সেভ হয়নি!

ফল? উভয়েই ৫০০ করে মোট ১০০০ টাকা তুলে নিল! এটাই ক্লাসিক Race Condition (TOCTOU - Time Of Check to Time Of Use)!

💸 গল্প ২: ই-কমার্সের কুপন কোড ও গিফট কার্ড লুপিং

ই-কমার্স সাইটগুলোতে যখন কোনো সিঙ্গেল-ইউজ কুপন (যেমন: FLAT500) থাকে, সার্ভারের সাধারণ কোড হয়:

if (coupon.is_valid && !user.has_used(coupon)) {
    apply_discount(order);
    mark_coupon_as_used(coupon, user); // ডাটাবেসে ফ্ল্যাগ আপডেট
}

চেক করা এবং ডাটাবেসে সেভ করার মাঝখানে যদি ২ মিলিসেকেন্ডের ফাঁক থাকে, তবে তুমি যদি ৫০টি প্যারালাল থ্রেড দিয়ে একসাথে রিকোয়েস্ট পাঠাও, তবে ৩ থেকে ৫টি রিকোয়েস্ট একই সাথে "ভ্যালিড" পেয়ে যাবে! ৫০০ টাকার কুপন দিয়ে ১৫০০ টাকা ডিসকাউন্ট!

🚀 গল্প ৩: Turbo Intruder ও HTTP/2 Single-Packet Attack

বৃষ্টি ম্যাম বললেন, "সৌরভ, পাইথনের সাধারণ লুপ দিয়ে মিলিসেকেন্ডের রেস জেতা যায় না, কারণ নেটওয়ার্ক ল্যাটেন্সি আলাদা হয়।"

আধুনিক হ্যাকিংয়ের সেরা অস্ত্র হলো HTTP/2 Single-Packet Attack! এখানে ৫০টি রিকোয়েস্ট তৈরি করে সার্ভারের দরজায় আটকে রাখা হয়, আর শেষ ১টি মাত্র TCP প্যাকেট পাঠানো হয় যা ৫০টি রিকোয়েস্টকে একসাথেই সার্ভারের সিপিইউতে এক্সিকিউট করায়! Burp Suite-এর Turbo Intruder এক্সটেনশন দিয়ে এটা নিখুঁতভাবে করা যায়।

🛡️ গল্প ৪: ডিফেন্স — সার্ভার কীভাবে নিজেকে রক্ষা করবে?

একজন ভালো এথিক্যাল হ্যাকারকে ডিফেন্সও জানতে হবে:

১. Database Row Locks: SELECT ... FOR UPDATE ব্যবহার করা যাতে একজন ট্রানজ্যাকশন শেষ না করা পর্যন্ত অন্য কেউ টেবিল পড়তে না পারে।
২. Distributed Mutex (Redis Lock): রেডিস দিয়ে ইউজার আইডি বা কুপন কোডের ওপর ২ সেকেন্ডের লক বসিয়ে দেওয়া।
৩. Database Unique Constraint: ডাটাবেস লেভেলে ইউনিক কি রাখা যাতে ডুপ্লিকেট ইনসার্ট সরাসরি ফেইল করে।

🎯 Chapter 15 কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সবুজ/লাল + ব্যাখ্যা!

❓ প্রশ্ন 1: Race Condition কী?

💡 Race Condition = concurrent operations-এর timing vulnerability। দুটো thread একই resource-এ একসাথে access করলে inconsistent state।

❓ প্রশ্ন 2: Race Condition-এর classic example?

💡 Coupon apply: check(valid) → apply(). দুটো request একসাথে পাঠালে দুটোই check পাস করে apply হয়।

❓ প্রশ্ন 3: asyncio.gather() কী করে?

💡 asyncio.gather(*tasks) = সব tasks একসাথে concurrent-এ run করে। Race attack-এ সব requests একই সময়ে পাঠাতে দরকার।

❓ প্রশ্ন 4: Race Condition test করার tool?

💡 Burp Suite Turbo Intruder বা Python asyncio দিয়ে ৫০-১০০ simultaneous requests পাঠিয়ে race condition test করো।

❓ প্রশ্ন 5: Server-side race condition fix কীভাবে?

💡 Fix: Database transaction (BEGIN/COMMIT) + row-level lock। Coupon apply → SELECT FOR UPDATE → one at a time।

❓ প্রশ্ন 6: TOCTOU কী?

💡 TOCTOU = Time-Of-Check Time-Of-Use। Check করে (valid?) তারপর use করে। মাঝের gap-এ race condition!

❓ প্রশ্ন 7: aiohttp কী?

💡 aiohttp = asyncio-based HTTP client। requests-এর async version। Concurrent/parallel HTTP requests পাঠাতে ideal।

❓ প্রশ্ন 8: Race Condition attack-এ সাফল্যের হার বাড়াতে কী করবো?

💡 Server-এর কাছে থেকে (low latency) ও বেশি concurrent connections দিয়ে race window hit করার probability বাড়ে।

❓ প্রশ্ন 9: Double-spend attack কোথায় সম্ভব?

💡 Double-spend = race condition দিয়ে একই balance দুবার খরচ করা। Wallet, coupon apply, referral claim-এ।

❓ প্রশ্ন 10: Race Condition-এর defensive mechanism?

💡 Idempotency key = request-এ unique UUID পাঠাও। Server duplicate detect করলে second process করে না।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference