💉 Chapter 40 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: Training database-এ SQLi root cause শনাক্ত করে fix-এর প্রভাব বোঝো।
Defense checkpoint: Prepared statement, least privilege এবং regression retest ব্যবহার করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

💉 গল্প ১: ডেটাবেসের কান মলে সত্যি কথা বের করা!

ভাবো তুমি একটি বড় কোম্পানির রিসেপশনে গেলে এবং কর্মচারীকে বললে: 'আমার নাম সৌরভ, আমাকে আমার ফাইলটি দিন'। কর্মচারী কম্পিউটারে লিখল: `SELECT * FROM users WHERE username = 'সৌরভ'`।

কিন্তু তুমি যদি একটু ধূর্ত হয়ে তোমার নাম বলো:
`admin' OR '1'='1`

তখন কম্পিউটারের কুয়েরি দাঁড়াবে:
`SELECT * FROM users WHERE username = 'admin' OR '1'='1'`
যেহেতু '১ সমান ১' চিরন্তন সত্য, তাই কম্পিউটার পাসওয়ার্ড ভেরিফাই করা ভুলে গিয়ে সরাসরি অ্যাডমিন হিসেবে লগইন করিয়ে দেবে! একেই বলে কিংবদন্তি SQL Injection (SQLi)!

📊 গল্প ২: UNION Injection ও ডেটাবেস ডাম্পিং

SQL ইনজেকশনের সবচেয়ে বিধ্বংসী রূপ হলো UNION Based SQLi। তুমি তোমার ইনপুটের মাধ্যমে সার্ভারের আসল কুয়েরির সাথে নিজের বানানো আরেকটা কুয়েরি আঠা দিয়ে জুড়ে দাও!

যেমন:
`' UNION SELECT 1, table_name, column_name FROM information_schema.columns--`
সার্ভার কোনো প্রডাক্ট দেখানোর বদলে স্ক্রিনে এক পলকে ডেটাবেসের সমস্ত টেবিল, কলাম, ক্রেডিট কার্ড নম্বর আর হ্যাশ করা পাসওয়ার্ড প্রিন্ট করে দেবে!

# sqlmap দিয়ে স্বয়ংক্রিয়ভাবে SQL Injection টেস্ট ও ডেটাবেস ডাম্পিং:
# Step 1: ভালনারেবল প্যারামিটার স্ক্যান করো:
sqlmap -u "https://target.com/product.php?id=1" --batch --dbs

# Step 2: ডেটাবেসের টেবিলগুলোর তালিকা দেখো:
sqlmap -u "https://target.com/product.php?id=1" -D ecommerce_db --tables

# Step 3: ইউজার টেবিলের ডেটা স্ক্রিন ডাম্প করো:
sqlmap -u "https://target.com/product.php?id=1" -D ecommerce_db -T users --dump

🛡️ গল্প ৩: অন্ধের মতো অন্ধকারে ঢিল মারা — Blind SQLi ও প্রতিরোধ

অনেক সময় সার্ভার স্ক্রিনে কোনো এরর বা ডেটা দেখায় না (Generic 200 OK)। তখন হ্যাকাররা ব্যবহার করে Time-Based Blind SQLi! হ্যাকার বলে: 'যদি পাসওয়ার্ডের প্রথম অক্ষর 'A' হয়, তবে ৫ সেকেন্ড ঘুমাও (SLEEP(5))!' সার্ভার যদি ৫ সেকেন্ড দেরিতে উত্তর দেয়, তবে হ্যাকার বুঝে যায় প্রথম অক্ষর নিশ্চিতভাবেই 'A' ছিল!

প্রতিরোধের একমাত্র উপায়: কখনোই কুয়েরিতে সরাসরি ইউজারের ইনপুট জোড়া লাগাবে না (`Concatenation`)। সবসময় Prepared Statements / Parameterized Queries (`?` বা `$1`) ব্যবহার করবে!

💡 SQLi সোনার নিয়ম

ইনপুটে একটা সিঙ্গেল কোট (`'`) বা স্ল্যাশ (`\`) দিয়ে দেখো সার্ভার কোনো ডেটাবেস এরর (যেমন: syntax error in SQL statement) ছুঁড়ে দেয় কিনা!

❓ প্রশ্ন 1: SQL Injection কী?

❓ প্রশ্ন 2: ' OR '1'='1 কেন কাজ করে?

❓ প্রশ্ন 3: sqlmap কোন tool?

❓ প্রশ্ন 4: Time-based blind SQLi কীভাবে কাজ করে?

❓ প্রশ্ন 5: Union-based SQLi-তে কী করতে হয়?

❓ প্রশ্ন 6: SQLi prevent করতে কী use করবে?

❓ প্রশ্ন 7: SQL error message-এ কী থাকে?

❓ প্রশ্ন 8: Boolean blind SQLi-তে কী দেখো?

❓ প্রশ্ন 9: SQLi দিয়ে কী করা সম্ভব?

❓ প্রশ্ন 10: sqlmap command-এ --dbs কী করে?

এই অধ্যায়ে কী শিখবে

🧪 SQLi Query Execution Simulator

বিশ্বস্ত reference