🔬 Chapter 4 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: নিজের test app-এর traffic flow capture করে request ও response বুঝো।
Defense checkpoint: TLS যাচাই করো এবং log/report থেকে token ও ব্যক্তিগত data বাদ দাও.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

📬 পোস্টঅফিসের গোয়েন্দা — MITM কী?

ধরো তুমি চিঠি পাঠাচ্ছো বন্ধুকে। পোস্টঅফিসে একজন গোয়েন্দা বসে আছে — প্রতিটা চিঠি খুলে পড়ে, আবার seal করে পাঠিয়ে দেয়।

এটাই MITM (Man-in-the-Middle) attack। HTTP Toolkit এই কাজটাই করে — App ও Server-এর মাঝে বসে সব traffic দেখে!

⚙️ HTTP Toolkit Setup — Step by Step

PC-তে:
1. https://httptoolkit.com থেকে download করো
2. HTTP Toolkit চালু করো → "Android via ADB" select করো

Android Phone-এ (same WiFi-তে থাকো):
3. WiFi Settings → Manual Proxy set করো:
   Host: PC-র IP address (যেমন 192.168.1.105)
   Port: 8000
4. HTTP Toolkit-এর CA certificate phone-এ install করো
   (Settings → Security → Install certificate)
5. Phone-এ Meesho app চালু করো → Traffic দেখো!

💡 Tip: IP address জানতে PC-তে cmd → ipconfig → IPv4 address দেখো

🔑 Meesho-র গুরুত্বপূর্ণ Headers

HTTP Toolkit-এ Meesho-র request-এ এই headers দেখতে পাবে:

POST https://api.training.example.test/v2/supply/catalog/list
Headers:
  x-token: SESSION_TOKEN_PLACEHOLDER  ← JWT Auth token
  x-mid: Meesho_Android_Supplier_v25  ← Mobile/Device ID
  authorization: Basic xxxxx          ← Basic auth
  content-type: application/json      ← Data format
  x-nonce: 1735689600_abc123          ← Anti-replay token
  x-device-id: Android_670490126      ← Device fingerprint
  user-agent: Meesho/25.0 (Android)  ← App identification

প্রতিটা header-এর কাজ বোঝো — bot বানাতে এগুলো সব দরকার!

💥 462 Error-এর সম্পূর্ণ রহস্য

462 = Meesho-র custom token error। কারণ ও সমাধান:

কারণ ১: x-token expire (সাধারণত ১ ঘণ্টা পর)
কারণ ২: Token অন্য device-এ simultaneously use
কারণ ৩: Token format ভুল বা tampered

Response:
{"error": "token_expired", "code": 462, "action": "refresh"}

✅ Fix করো:
POST /v2/auth/token/refresh
{"refresh_token": "eyJhbGc..."}

→ New access token পাবে → আবার request করো!

🌊 Filter করো — শুধু দরকারি traffic দেখো

HTTP Toolkit-এ সব traffic আসে — ads, analytics সব। শুধু Meesho-র API দেখতে filter করো:

HTTP Toolkit Filter:
Host contains "meesho" OR "meeshoapi"

Production domains:
api.training.example.test         ← Main API
prod.meeshoapi.com     ← Product API
events.training.example.test      ← Analytics (skip করো)
ads.training.example.test         ← Ads (skip করো)

🔒 HTTPS Traffic কেন দেখা যায়?

HTTPS encrypted — তাহলে HTTP Toolkit কীভাবে দেখে?

উত্তর: CA Certificate! Phone-এ HTTP Toolkit-এর certificate install করলে:

App → HTTP Toolkit (decrypt করে দেখে) → Server
         ↑ এখানে HTTPS বলে ভাবে
App ← HTTP Toolkit (re-encrypt করে পাঠায়) ← Server

⚠️ এটাই SSL Pinning bypass করা ছাড়া কাজ করে না (Chapter 11)!

💡 Chapter 4-এর মূল শিক্ষা

🕵️ MITM = Man-in-the-Middle — Client ও Server-এর মাঝে বসে traffic দেখো
🔬 HTTP Toolkit = best MITM proxy tool for Android
🔑 x-token = JWT auth, x-mid = device ID, x-nonce = anti-replay
💥 462 = Meesho-র custom token expire/invalid error
🌊 Filter করো — production domain শুধু দেখো
🔒 HTTPS দেখতে phone-এ CA certificate install করতে হয়

🎯 Chapter 4 — কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সবুজ/লাল + ব্যাখ্যা!

❓ প্রশ্ন 1: MITM proxy মানে কী?

💡 MITM = Man-in-the-Middle। Client ভাবে Server-এর সাথে কথা হচ্ছে, Server ভাবে Client-এর সাথে — মাঝখানে proxy সব দেখছে।

❓ প্রশ্ন 2: HTTP Toolkit-এ HTTPS traffic দেখতে কী করতে হয়?

💡 HTTPS decrypt করতে phone-এ HTTP Toolkit-এর CA certificate install করতে হয় — তাহলে encrypted traffic plain-text-এ দেখা যায়।

❓ প্রশ্ন 3: 462 error কেন হয়?

💡 Meesho 462 = token expired বা invalid। Standard 401-এর বদলে তাদের নিজস্ব error code।

❓ প্রশ্ন 4: x-mid header-এ কী থাকে?

💡 x-mid = Mobile ID। App platform, version, device identifier। যেমন 'Meesho_Android_Supplier_v25.0'।

❓ প্রশ্ন 5: x-nonce header কী কাজে লাগে?

💡 Nonce = number used once। timestamp + random। একই request দুবার replay করলে server reject করে।

❓ প্রশ্ন 6: Traffic capture করার সময় কোন domain filter করবো?

💡 Production domain filter করলে শুধু real API calls দেখা যায়। analytics, ads domain-এর noise বাদ যায়।

❓ প্রশ্ন 7: Token refresh করতে কোন endpoint?

💡 Token refresh endpoint-এ expired access token-এর বদলে fresh token দেওয়া হয়। Refresh token-ই credential।

❓ প্রশ্ন 8: Phone-এ proxy set করতে কোথায় যাবো?

💡 WiFi settings → সেই WiFi-র details → Manual Proxy → Host: PC IP, Port: 8000।

❓ প্রশ্ন 9: HTTP Toolkit-এ request modify করা যায়?

💡 HTTP Toolkit Breakpoints feature দিয়ে request বা response intercept করে modify করা যায় — parameters বদলে দাও।

❓ প্রশ্ন 10: MITM attack detect করার উপায় কী?

💡 Certificate Pinning = app-এ hardcoded certificate hash রাখা। MITM proxy-র certificate match না করলে connection refuse করে।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference