🔬 Chapter 23 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: Burp-এ অনুমতিপ্রাপ্ত request/response evidence পরিষ্কারভাবে নথিভুক্ত করো।
Defense checkpoint: Scope মেনে non-destructive test চালিয়ে fix ও retest report করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

🛠️ গল্প ১: হ্যাকারদের ল্যাবরেটরির সেরা মাইক্রোস্কোপ

যদি তুমি কোনো পেশাদার বাগ বাউন্টি হান্টার বা এথিক্যাল হ্যাকারকে জিজ্ঞেস করো — "তোমার পছন্দের এক নম্বর টুল কোনটি?" সবাই একবাক্যে বলবে: Burp Suite!

Burp Suite শুধুই একটি প্রক্সি নয়; এটি হলো সম্পূর্ণ একটি ওয়েব পেনিট্রেশন টেস্টিং স্যুট। ব্রাউজার বা অ্যাপ থেকে সার্ভারে যাওয়া প্রতিটি বাইট এখানে থামানো যায়, কাটাছেঁড়া করা যায় এবং নিজের খুশিমতো পরিবর্তন করে সার্ভারে ফেরত পাঠানো যায়!

🎯 গল্প ২: Repeater বনাম Intruder — হাতের কাজ বনাম মেশিনগান

• Burp Repeater: যখন তুমি কোনো একটি নির্দিষ্ট রিকোয়েস্টকে বারবার চালিয়ে দেখতে চাও — প্যারামিটার বদলে বদলে রেসপন্সের আচরণ বুঝতে চাও, তখন রিপিটার ব্যবহার করা হয়। এটি তোমার ল্যাবরেটরির টেস্ট টিউব!

• Burp Intruder: যখন তোমাকে একসাথে ১০ হাজার পাসওয়ার্ড বা কুপন কোড টেস্ট করতে হবে, তখন ইনট্রুডার হলো মেশিনগান! এর চারটি মোড থাকে:
১. Sniper: একটি পজিশনে একে একে সব পে-লোড পরীক্ষা করে।
২. Battering Ram: সব পজিশনে একই পে-লোড একসাথে বসায়।
৩. Pitchfork: ইউজারনেম ও পাসওয়ার্ডের দুটি আলাদা লিস্ট একসাথে প্যারালালে চালায়।
৪. Cluster Bomb: সমস্ত সম্ভাব্য কম্বিনেশন পারমুটেশন করে টেস্ট করে!

🕵️ গল্প ৩: Burp Collaborator — অন্ধকারের ওপারে কান পাতা

বৃষ্টি ম্যাম বললেন, "সৌরভ, অনেক সময় সার্ভারে অ্যাটাক পাঠালে স্ক্রিনে কিছুই দেখায় না (Blind SSRF বা Blind RCE)। তখন কীভাবে বুঝবে অ্যাটাক সফল হয়েছে?"

এর জন্য আছে Burp Collaborator! এটি একটি পাবলিক ক্লাউড লিসেনার। তুমি রিকোয়েস্টে কোলাবোরেটরের একটি ইউনিক সাবডোমেন দিয়ে দাও (যেমন: xyz.burpcollaborator.net)। যদি সার্ভার ইন্টারনালি সেই লিংকে পিং করে বা DNS লুক-আপ পাঠায়, কোলাবোরেটর সাথে সাথে তোমাকে স্ক্রিনে অ্যালার্ট দিয়ে দেবে — "সার্ভার তোমার ফাঁদে পা দিয়েছে!"

⚡ গল্প ৪: Match & Replace দিয়ে লাইভ ট্র্যাফিক ম্যানিপুলেশন

Burp Proxy-র Match and Replace অপশন ব্যবহার করে তুমি স্বয়ংক্রিয়ভাবে সমস্ত রিকোয়েস্টের হেডার বদলে দিতে পারো:
• X-Forwarded-For: 127.0.0.1 স্বয়ংক্রিয়ভাবে ইনজেক্ট করা (Admin bypass)
• রেসপন্সে আসা JavaScript-এর is_admin = false কে লাইভে is_admin = true বানিয়ে দেওয়া!

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference