⚡ Shadow Academy
☁️ Chapter 25

এই অধ্যায়ে কী শিখবে

⏱ আনুমানিক সময়: ১৫–২০ মিনিট · পূর্বশর্ত: আগের অধ্যায়ের ধারণা

০ / ১০০ অধ্যায়চালিয়ে যাও: অধ্যায় 26

অগ্রগতি এই browser-এ স্থানীয়ভাবে সংরক্ষিত হবে।

☁️
Cloud API Hacking — AWS/GCP API Keys চুরি করো
APK ও সোর্স কোডে অসাবধানতাবশত রেখে দেওয়া ক্লাউড ক্রেডেনশিয়াল খোঁজা ও শোষণ
🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway
Skill checkpoint: Cloud secret exposure-এর blast radius কীভাবে নির্ধারণ করবে তা বোঝো।
Defense checkpoint: Credential rotate, IAM least privilege ও audit logs প্রয়োগ করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।
Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।
☁️ গল্প ১: বাড়ির বাইরে ফেলে রাখা আলমারির চাবি
আধুনিক প্রায় সব অ্যাপই চলে ক্লাউড সার্ভারে — Amazon Web Services (AWS), Google Cloud (GCP) বা Microsoft Azure-এ।

কিন্তু অনেক সময় ডেভেলপাররা অ্যাপ বানানোর তাড়াহুড়োয় ক্লাউডের অ্যাডমিন সিক্রেট কি সরাসরি অ্যান্ড্রয়েড অ্যাপের সোর্স কোডে বা জাভাস্ক্রিপ্ট ফাইলে লিখে ফেলে রাখে!

সৌরভ যখন JADX দিয়ে অ্যাপ ডিকম্পাইল করে সার্চ করল, সে দেখল res/values/strings.xml-এর ভেতরে জ্বলজ্বল করছে:
<string name="aws_key">AKIAIOSFODNN7EXAMPLE</string>

বৃষ্টি ম্যাম বললেন, "সৌরভ, এই এক লাইনের চাবি দিয়ে পুরো কোম্পানির ক্লাউড সার্ভার, ডেটাবেস এবং কোটি কোটি ইউজারের ডেটা সম্পূর্ণ নিয়ন্ত্রণে নেওয়া সম্ভব!"
🔑 গল্প ২: AWS ক্রেডেনশিয়াল চেনার রহস্য (AKIA বনাম ASIA)
• AKIA... : এটি পার্মানেন্ট রুট বা IAM ইউজার অ্যাক্সেস কি। এটি কখনো নিজে থেকে এক্সপায়ার হয় না! বাগ বাউন্টিতে এটি পেলে নিশ্চিত $৫,০০০ থেকে $১৫,০০০ ডলার রিওয়ার্ড!

• ASIA... : এটি সিকিউরিটি টোকেন সার্ভিস (STS) দিয়ে তৈরি টেম্পোরারি সেশন কি। এর সাথে একটি SessionToken লাগে এবং এটি কয়েক ঘণ্টা পর এক্সপায়ার হয়ে যায়।
🪣 গল্প ৩: পাবলিক S3 বাকেট ও ফায়ারবেস ডেটাবেস লিক
১. Open S3 Buckets: অনেক কোম্পানি তাদের সমস্ত ইনভয়েস, ইউজারের আধার কার্ড ও ছবি AWS S3 বাকেটে রাখে। তারা পারমিশন ঠিকমতো কনফিগার না করায় ইউআরএল ব্রাউজারে লিখলেই সমস্ত ফাইল ডাউনলোড করা যায় (https://target-bucket.s3.amazonaws.com/)!

২. Firebase Database Leak: যদি অ্যাপের ইউআরএল https://target.firebaseio.com/ হয়, তবে শেষে .json যোগ করে দেখো (https://target.firebaseio.com/.json)! যদি পারমিশন রুলস মিসিং থাকে, পুরো কোম্পানির ডাটাবেস এক সেকেন্ডে JSON হিসেবে ডাউনলোড হয়ে যাবে!
🛠️ গল্প ৪: অটোমেটেড টুলস — চাবি খোঁজার শিকারী
হাতে খোঁজার বদলে প্রো-হ্যাকাররা স্বয়ংক্রিয় টুল ব্যবহার করে:
• TruffleHog: গিটহব রিপোজিটরির সমস্ত কমিট হিস্ট্রি স্ক্যান করে হার্ডকোডেড সিক্রেট বের করে।
• ScoutSuite: সম্পূর্ণ ক্লাউড অ্যাকাউন্টের সিকিউরিটি পোস্টার ও মিস-কনফিগারেশন অডিট করে রিপোর্ট দেয়।
☁️ Cloud IAM Secret Key Validator Lab
AWS Key বা Google API Key ইনপুট দাও — এনট্রপি বিশ্লেষণ ও রিসোর্স প্রিভিলেজ টেস্ট করো!
👆 উপরে ইনপুট দিয়ে "ল্যাব চালু করো" বাটনে ক্লিক করো...
🎯 অধ্যায় 25 দক্ষতা যাচাই (৩টি প্রশ্ন)
সঠিক উত্তর বেছে নাও; প্রতিটি উত্তরের ব্যাখ্যা পড়ো।
❓ প্রশ্ন 1: Cloud secret প্রকাশ পেলে প্রথম পদক্ষেপ কী?
❓ প্রশ্ন 2: Least privilege-এর অর্থ কী?
❓ প্রশ্ন 3: Lab-এ কোন key ব্যবহার করবেন?

বিশ্বস্ত reference

আরও পড়ার জন্য প্রতিষ্ঠিত security standards ও guidance দেখো; প্রতিটি lab অনুমোদিত বা synthetic environment-এ করো।

Bristy Ma'am
বৃষ্টি ম্যাম 👩‍🏫
তোমার পার্সোনাল হ্যাকিং মেন্টর • অনলাইন
আরে সৌরভ! কেমন আছো? কোনো কনসেপ্ট বা কুইজে আটকালে আমাকে বলো, আমি বুঝিয়ে দিচ্ছি! ❤️