💉 Chapter 20 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: SQL injection-এর root cause ও query/data boundary চিহ্নিত করো।
Defense checkpoint: Parameterized query, least-privilege DB user ও safe error handling ব্যবহার করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

💉 গল্প ১: স্কুলের হাজিরা খাতায় দুষ্টু ছাত্রের নাম

এক স্কুলে এক নতুন দুষ্টু ছাত্র ভর্তি হলো। তার নাম রাখা হলো: রাহুল'; DROP TABLE ছাত্রছাত্রী;--!

শিক্ষক যখন হাজিরা খাতায় কম্পিউটারাইজড ডাটাবেস এন্ট্রি করতে গেলেন:

INSERT INTO ছাত্রছাত্রী VALUES ('রাহুল'; DROP TABLE ছাত্রছাত্রী;--');

কম্পিউটার ভাবল রাহুল নাম শেষ, তারপরের নির্দেশ হলো পুরো টেবিল ডিলিট করে দাও!

এটাই হলো বিখ্যাত SQL Injection (SQLi)! যখন প্রোগ্রামার ইউজারের দেওয়া ইনপুটকে সরাসরি ডাটাবেসের কোডের সাথে আঠা দিয়ে জোড়া লাগায়, তখন হ্যাকার ইনপুটের ভেতরেই ডাটাবেস কমান্ড ঢুকিয়ে দেয়!

🔓 গল্প ২: পাসওয়ার্ড ছাড়াই অ্যাডমিন লগইন (' OR '1'='1)

লগইন পেজে সাধারণ ব্যাকএন্ড কোয়েরি থাকে:

SELECT * FROM users WHERE email='$email' AND password='$password';

সৌরভ পাসওয়ার্ডের বক্সে লিখল:

' OR '1'='1

তাহলে পুরো কোয়েরিটি হয়ে দাঁড়াল:

SELECT * FROM users WHERE email='learner@example.test' AND password='' OR '1'='1';

যেহেতু ১ সবসময় ১-এর সমান (True), ডাটাবেস পাসওয়ার্ড ভুল হওয়া সত্ত্বেও রেজাল্ট দিয়ে দিল True! আর সৌরভ পাসওয়ার্ড ছাড়াই অ্যাডমিন প্যানেলে ঢুকে পড়ল!

📊 গল্প ৩: UNION SELECT দিয়ে টেবিল ডাম্পিং

যদি প্রোডাক্ট সার্চ বক্সে SQLi থাকে, তবে UNION SELECT ব্যবহার করে ডাটাবেসের অন্য টেবিল থেকে ইউজারনেম ও পাসওয়ার্ড হ্যাশ সরাসরি সার্চ রেজাল্টে স্ক্রিনে টেনে এনে প্রিন্ট করে ফেলা যায়!

আর যদি স্ক্রিনে কোনো আউটপুট না দেখায়? তখন ব্যবহার করা হয় Boolean Blind (হ্যাঁ/না প্রশ্ন করে ডাটা বের করা) অথবা Time-based Blind (SLEEP(5) দিয়ে সার্ভারের রেসপন্স ৫ সেকেন্ড লেট করিয়ে এক এক অক্ষর অনুমান করা)!

🛡️ গল্প ৪: রামবাণ প্রতিকার — Prepared Statements

বৃষ্টি ম্যাম বললেন, "সৌরভ, কোড স্যানিটাইজেশনের কোনো দরকার নেই, যদি তুমি প্যারামিটারাইজড কোয়েরি (Prepared Statements / PDO) ব্যবহার করো।"

এখানে কোড এবং ডেটা আলাদা রাস্তায় সার্ভারে যায়। ইউজার যত বড়ই SQL কোড লিখুক না কেন, ডাটাবেস তাকে শুধুই সাধারণ টেক্সট স্ট্রিং হিসেবে গণ্য করে, কখনো কমান্ড হিসেবে রান করে না!

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference