📡 Chapter 17 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: WebSocket handshake, frame ও persistent session-এর আচরণ ব্যাখ্যা করো।
Defense checkpoint: প্রতিটি message-এ authorization, origin validation ও replay control রাখো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

📞 গল্প ১: চিঠিপত্র বনাম লাইভ হটলাইন — ওয়েব-সকেট কী?

HTTP হলো চিঠির মতো — তুমি চিঠি পাঠাও, সার্ভার জবাব দেয়, কানেকশন শেষ!

কিন্তু যখন তুমি লাইভ আইপিএল ম্যাচ দেখো, ক্রিপ্টো ট্রেডিং করো বা রিয়েল-টাইম নিলামে বিড করো, তখন প্রতি সেকেন্ডে চিঠি পাঠালে তো সর্বনাশ হয়ে যাবে! তাই তৈরি হয়েছিল WebSocket — ব্রাউজার ও সার্ভারের মাঝে একটি সার্বক্ষণিক খোলা পাইপলাইন বা লাইভ টেলিফোন লাইন! একবার কানেকশন হলে উভয়েই যে কোনো সময় বিনা অনুমতিতে কথা বলতে পারে।

🎣 গল্প ২: লাইভ নিলামে ১ টাকার জালিয়াতি

সৌরভ একটি অনলাইন নিলাম অ্যাপে দেখল একটি সোনার নেকলেস উঠছে।

সাধারণ মানুষ স্ক্রিনে বিড করছে ₹১০০০০, ₹১২০০০। সৌরভ প্রক্সিতে ওয়েব-সকেটের ফ্রেম মনিটর করল। সে দেখল ব্রাউজার সার্ভারে পাঠাচ্ছে:

{"type": "BID_SUBMIT", "auction_id": 994, "amount": 15000}

সৌরভ বুঝতে পারল সার্ভার এই মেসেজটি পেয়েই সমস্ত কানেক্টেড ইউজারের স্ক্রিনে ব্রডকাস্ট করে দিচ্ছে!

💥 গল্প ৩: CSWSH — Cross-Site WebSocket Hijacking

বৃষ্টি ম্যাম বললেন, "সৌরভ, ওয়েব-সকেটের সবচেয়ে বড় দুর্বলতা হলো এতে কোনো Same-Origin Policy (SOP) কাজ করে না!"

যদি কোনো খারাপ ওয়েবসাইট তোমার ব্রাউজারে খোলা থাকে, সেই সাইটের জাভাস্ক্রিপ্ট তোমারই লগইন কুকি ব্যবহার করে ব্যাংকের ওয়েব-সকেট সার্ভারে সরাসরি হাত মেলাতে পারে (new WebSocket("wss://bank.com/live"))! একেই বলে CSWSH। এর মাধ্যমে আক্রমণকারী তোমার লাইভ ব্যালেন্স দেখতে পায় ও রিয়েল-টাইম কমান্ড পাঠাতে পারে।

🛡️ গল্প ৪: ডিফেন্স — লাইভ পাইপলাইন কীভাবে সুরক্ষিত রাখবে?

১. Origin Header Validation: হ্যান্ডশেকের সময় Origin হেডার কঠোরভাবে যাচাই করা।
২. One-Time Ticket Auth: কানেকশন খোলার আগে HTTP দিয়ে একটি ৩০ সেকেন্ডের ওয়ান-টাইম সিক্রেট টোকেন নিয়ে সকেটে পাস করা।
৩. Strict Schema Validation: সার্ভারে আসা প্রতিটি ফ্রেমের ডেটা টাইপ কঠোরভাবে পরীক্ষা করা।

🎯 Chapter 17 কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সবুজ/লাল + ব্যাখ্যা!

❓ প্রশ্ন 1: WebSocket HTTP থেকে আলাদা কীভাবে?

💡 WebSocket = full-duplex persistent connection। HTTP = request-response (stateless)। Real-time apps-এ ideal।

❓ প্রশ্ন 2: WebSocket URL-এর prefix কী?

💡 WebSocket URL: ws://example.com বা wss://example.com (TLS/SSL)।

❓ প্রশ্ন 3: WebSocket intercept করতে কোন tool?

💡 Burp Suite Proxy → WebSocket history। Messages intercept, modify, replay করা যায়।

❓ প্রশ্ন 4: WebSocket handshake কীভাবে হয়?

💡 WebSocket handshake: HTTP GET + 'Upgrade: websocket' header → server responds 101 → connection upgraded।

❓ প্রশ্ন 5: ws.send() কী করে?

💡 ws.send(data) = client থেকে server-এ message পাঠানো। ws.onmessage = server থেকে receive করা।

❓ প্রশ্ন 6: WebSocket message replay attack কী?

💡 Replay = captured valid message আবার পাঠানো। Bid, order, vote — replay করে unauthorized action।

❓ প্রশ্ন 7: wss vs ws পার্থক্য?

💡 wss = WebSocket Secure (TLS)। ws = unencrypted। Production-এ সবসময় wss use করা উচিত।

❓ প্রশ্ন 8: WebSocket message format সাধারণত?

💡 WebSocket message format flexible — JSON text (most common), binary (games, streaming), Protobuf।

❓ প্রশ্ন 9: Live bidding race condition কীভাবে exploit করবো?

💡 Bid message capture → Burp Repeater → same millisecond-এ multiple bids replay → race condition।

❓ প্রশ্ন 10: WebSocket heartbeat কী?

💡 WebSocket heartbeat = periodic ping-pong। Connection idle হলে server/client close করে — heartbeat এটা prevent করে।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference