📡 Chapter 31 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: Mock API response পরিবর্তনের পর server-side trust boundary ব্যাখ্যা করো।
Defense checkpoint: Client data-কে অবিশ্বস্ত ধরে server-এ price/permission পুনরায় যাচাই করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

🕵️‍♂️ গল্প ১: ডাকঘরের গোপন গোয়েন্দা ও MITM রহস্য

ভাবো তুমি একটি বিরাট পোস্ট অফিসে কাজ করো। সারা শহর থেকে হাজার হাজার মুখবন্ধ চিঠি পাঠানো হচ্ছে। কিন্তু তোমার কাছে রয়েছে একটি 'এক্স-রে জাদুর চশমা' 👓! চিঠি খোলার দরকার নেই, ওপর থেকেই তুমি দেখে ফেলতে পারছো কে কাকে কী লিখছে, কত টাকার চেক পাঠাচ্ছে এবং ভেতরে কী গোপন কোড আছে!

হ্যাকিংয়ের জগতে এই এক্স-রে চশমা আর ডাকঘরের মাঝখানের আসনটিকেই বলা হয় MITM (Man-In-The-Middle) প্রক্সি! আর এই কাজে মোবাইল হ্যাকারদের বর্তমান যুগের এক নম্বর সুপার-টুল হলো Reqable।

তোমার মোবাইল যখন Meesho, Amazon বা Flipkart অ্যাপ খোলে, তখন তোমার ফোন সরাসরি সার্ভারের সাথে কথা বলে না; মাঝখানে বসে থাকে Reqable। ফোনের পাঠানো প্রতিটি সিক্রেট টোকেন, পাসওয়ার্ড আর হেডার তোমার কম্পিউটার স্ক্রিনে পানির মতো পরিষ্কার ভেসে ওঠে!

📱 গল্প ২: CA সার্টিফিকেট ও HTTPS ডিক্রিপশন যুদ্ধ

কিন্তু আধুনিক দুনিয়ায় তো সব ডেটা HTTPS (SSL/TLS) দিয়ে তালাবন্ধ! তাহলে Reqable কীভাবে পড়বে?

এখানেই দরকার পড়ে Root CA Certificate (Certificate Authority)-এর! সাধারণ অবস্থায় তোমার ফোন অপরিচিত কোনো প্রক্সির কথা শুনবে না এবং বলবে 'Security Alert! SSL Handshake Failed!' 🚫

তাই আমাদের কাজ হলো Reqable-এর নিজস্ব CA সার্টিফিকেটটি ফোনের অপারেটিং সিস্টেমে (Android Trusted CA) ইনস্টল করে দেওয়া। তখন ফোন মনে করে Reqable হলো তার পরম বিশ্বস্ত বন্ধু! সাথে সাথে সমস্ত তালা খুলে যায় এবং এনক্রিপ্টেড ট্র্যাফিক এক মুহূর্তে সাধারণ JSON টেক্সট-এ রূপান্তরিত হয়!

# Step 1: Reqable CA সার্টিফিকেট ফোনে ইনস্টল:
# Settings -> Security -> Encryption & Credentials -> Install a Certificate -> CA Certificate
# Step 2: ফোনের WiFi-তে Manual Proxy সেট করো:
# Host IP: 192.168.1.5 (তোমার PC-র IPv4) | Port: 9999

# Step 3: এবার Python দিয়ে ক্যাপচার করা রিকোয়েস্ট Replay করো:
import requests

headers = {
    'User-Agent': 'Meesho_Android_Supplier_v25.0',
    'x-auth-token': 'SESSION_TOKEN_PLACEHOLDER',
    'Content-Type': 'application/json'
}
response = requests.get('https://api.training.example.test/v2/user/wallet', headers=headers, verify=False)
print("Captured Wallet Balance:", response.json())

⚡ গল্প ৩: SSL Pinning বাইপাস ও Rewrite রুলস

কিছু ধূর্ত অ্যাপ যেমন Amazon, Instagram ইত্যাদি তাদের কোডের ভেতরেই আসল সার্ভারের সার্টিফিকেটের ফিঙ্গারপ্রিন্ট গেঁথে রাখে — একে বলে SSL Pinning। ফোন CA সার্টিফিকেট মানলেও অ্যাপ বলে 'আমি এটা বিশ্বাস করি না!'

তখন আমাদের দরকার হয় Frida-র! Frida দিয়ে অ্যাপের মেমোরিতে ঢুকে ভেরিফিকেশন ফাংশনটাকে এক লাইনে রিটার্ন ট্রু (`return true;`) করিয়ে দিলেই SSL Pinning চুরমার হয়ে যায়!

আর একবার ট্র্যাফিক দেখতে পেলে তুমি ব্যবহার করতে পারো Rewrite Rules! ধরো কোনো প্রডাক্টের আসল দাম ₹৯,৯৯৯ টাকা। তুমি রেসপন্স আসার পথে Rewrite দিয়ে বদলে করে দিলে ₹৯৯ টাকা! অ্যাপটি বোকার মতো ভাববে দাম সত্যিই ৯৯ টাকা! 😈

💡 Reqable প্রক্সি হ্যাকিং সারাংশ

১. ফোনে WiFi প্রক্সি Port 9999 দাও। ২. CA Certificate ইনস্টল করো। ৩. SSL Pinning থাকলে Frida হুক চালাও। ৪. Rewrite Rules দিয়ে রিকোয়েস্ট বা রেসপন্স মডিফাই করো!

❓ প্রশ্ন 1: MITM মানে কী?

❓ প্রশ্ন 2: Reqable CA Certificate install কেন করি?

❓ প্রশ্ন 3: SSL Pinning bypass করতে কোন tool?

❓ প্রশ্ন 4: Reqable default proxy port কোনটা?

❓ প্রশ্ন 5: ফোনে proxy সেট করতে কোথায় যাবে?

❓ প্রশ্ন 6: Reqable Rewrite Rules দিয়ে কী করা যায়?

❓ প্রশ্ন 7: Amazon Cart API সাধারণত কোন path-এ?

❓ প্রশ্ন 8: x-amz-access-token কী?

❓ প্রশ্ন 9: Reqable কোন platform-এ চলে?

❓ প্রশ্ন 10: HTTPS সরাসরি দেখা যায় না কেন?

এই অধ্যায়ে কী শিখবে

🧪 Reqable Rewrite Simulator

বিশ্বস্ত reference