📦 Chapter 3 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: APK-এর manifest, resources ও bytecode-এর ভূমিকা শনাক্ত করো।
Defense checkpoint: নিজস্ব sample app-এর permissions ও embedded secret review করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

🥔 চিপসের প্যাকেট ও APK-র রহস্য

APK (Android Package Kit) হলো চিপসের প্যাকেটের মতো — বাইরে থেকে বোঝা যায় না ভেতরে কী আছে।

🔑 বড় রহস্য: APK আসলে একটা ZIP file!
.apk → .zip rename করলেই WinRAR/7-Zip দিয়ে খোলা যায়!

📁 APK-র ভেতরে কী কী থাকে?

Meesho.apk (extract করার পর):
├── AndroidManifest.xml   ← App-এর blueprint (permissions, activities)
├── classes.dex           ← Java bytecode (JADX দিয়ে পড়ো!)
├── classes2.dex          ← আরো bytecode
├── res/
│   ├── values/strings.xml ← 🥇 API keys, URLs — সোনার খনি!
│   └── layout/           ← UI XML files
├── assets/
│   └── config.json       ← Hardcoded server configs
├── lib/
│   └── arm64-v8a/        ← Native C++ (.so files)
│       └── libcore.so    ← Ghidra লাগবে এটা পড়তে
└── META-INF/CERT.RSA     ← App signature

🔬 JADX — Java Decompiler (সবচেয়ে গুরুত্বপূর্ণ tool)

JADX = Java Decompiler। classes.dex → readable Java source code!

# Step 1: JADX GUI download করো
# https://github.com/skylot/jadx/releases

# Step 2: APK খোলো
File → Open files → Meesho.apk

# Step 3: Global search (সবচেয়ে important shortcut!)
Ctrl+Shift+F → search করো:
  "api_key"    → API keys
  "baseUrl"    → Server addresses
  "secret"     → Hidden secrets
  "token"      → Token generation
  "password"   → Hardcoded passwords

📖 strings.xml — সোনার খনি!

res/values/strings.xml-এ developer-রা প্রায়ই ভুল করে sensitive data রাখে:

<resources>
  <string name="api_base_url">https://api.training.example.test/v2</string>
  <string name="firebase_key">AIzaSyAbCdEf123456789</string>
  <string name="razorpay_key">rzp_live_AbCdEfGhIj</string>
  <string name="google_client_id">123456.apps.googleusercontent.com</string>
</resources>

এই strings সরাসরি production-এ use হয়! Bug bounty-তে এটা high severity!

🎭 ProGuard/R8 — Code Obfuscation

অনেক app code obfuscate করে reverse করা কঠিন করতে:

Original code:
public String getAuthToken() {
    return this.authManager.getCurrentToken();
}

Obfuscated code (ProGuard):
public String a() {
    return this.b.c();
}
↑ কী বুঝলে? কঠিন!

কিন্তু strings.xml, assets, AndroidManifest — এগুলো obfuscate হয় না। এখানেই secrets থাকে!

🕵️ AndroidManifest.xml — App-এর Blueprint

AndroidManifest.xml-এ সব permission ও component listed:

<manifest>
  <uses-permission android:name="android.permission.INTERNET"/>
  <uses-permission android:name="android.permission.READ_CONTACTS"/>

  <activity android:name=".LoginActivity" android:exported="true"/>
  <activity android:name=".AdminActivity"/> ← Hidden admin panel!

  <meta-data android:name="com.google.firebase.API_KEY"
             android:value="AIzaSy..."/> ← Firebase key!
</manifest>

exported="true" activity মানে অন্য app সরাসরি open করতে পারে — security risk!

💡 Chapter 3-এর মূল শিক্ষা

📦 APK = ZIP file — rename করেই খোলা যায়
☕ classes.dex = Java bytecode → JADX দিয়ে decompile করো
🥇 strings.xml = সোনার খনি — API keys, URLs এখানে
🔬 JADX Ctrl+Shift+F = global search — সবচেয়ে কার্যকর
🎭 ProGuard = code obfuscate করে — কিন্তু strings.xml obfuscate হয় না
📋 AndroidManifest = permissions, activities — exported=true দেখো

🎯 Chapter 3 — কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সবুজ/লাল + ব্যাখ্যা!

❓ প্রশ্ন 1: APK file আসলে কী ধরনের file?

💡 APK = Android Package — আসলে ZIP! .apk → .zip rename করে WinRAR/7-Zip দিয়ে সব files দেখা যায়।

❓ প্রশ্ন 2: JADX কী কাজ করে?

💡 JADX = Java Decompiler। classes.dex (bytecode) → readable Java source code। Android RE-এর প্রধান tool।

❓ প্রশ্ন 3: strings.xml-এ কী ধরনের data পাওয়া যায়?

💡 Developer-রা প্রায়ই API keys, base URLs, payment gateway keys strings.xml-এ hardcode করে রাখে — security mistake!

❓ প্রশ্ন 4: ProGuard কী করে?

💡 ProGuard/R8 code obfuscate করে। getAuthToken() → a()। Reverse করা কঠিন হয়। কিন্তু strings.xml obfuscate হয় না।

❓ প্রশ্ন 5: JADX-এ global search-এর shortcut কী?

💡 Ctrl+Shift+F = JADX-এর global search। সব decompiled files-এ একসাথে 'apiKey', 'secret', 'baseUrl' খোঁজে।

❓ প্রশ্ন 6: classes.dex কী?

💡 classes.dex = Dalvik Executable। Android-এর Java code bytecode-এ compile হয়। JADX এটাকে Java-তে convert করে।

❓ প্রশ্ন 7: AndroidManifest.xml-এ 'exported=true' মানে কী?

💡 android:exported='true' মানে অন্য app বা attacker সরাসরি সেই activity launch করতে পারে — unauthorized access risk!

❓ প্রশ্ন 8: APK থেকে secrets খুঁজতে প্রথমে কোথায় দেখবো?

💡 strings.xml ও assets/ folder প্রথমে দেখো — ProGuard obfuscate করে না। API keys, URLs এখানেই থাকে।

❓ প্রশ্ন 9: .so file কী এবং কীভাবে analyze করবো?

💡 .so = Shared Object। C/C++ compiled native library। JADX পড়তে পারে না — Ghidra বা IDA Pro দরকার।

❓ প্রশ্ন 10: Obfuscated code analyze-এর সেরা approach?

💡 Obfuscated code static analysis-এ বোঝা কঠিন। Frida দিয়ে runtime-এ actual decrypted values intercept করা বেশি effective।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference