⚡ Shadow Academy
☁️ Chapter 43
Ch 1Ch 2Ch 3Ch 4Ch 5Ch 6Ch 7Ch 8Ch 9Ch 10Ch 11Ch 12Ch 13Ch 14Ch 15Ch 16Ch 17Ch 18Ch 19Ch 20Ch 21Ch 22Ch 23Ch 24Ch 25Ch 26Ch 27Ch 28Ch 29Ch 30Ch 31Ch 32Ch 33Ch 34Ch 35Ch 36Ch 37Ch 38Ch 39Ch 40Ch 41Ch 42Ch 43Ch 44Ch 45Ch 46Ch 47Ch 48Ch 49Ch 50Ch 51Ch 52Ch 53Ch 54Ch 55Ch 56Ch 57Ch 58Ch 59Ch 60Ch 61Ch 62Ch 63Ch 64Ch 65Ch 66Ch 67Ch 68Ch 69Ch 70Ch 71Ch 72Ch 73Ch 74Ch 75Ch 76Ch 77Ch 78Ch 79Ch 80Ch 81Ch 82Ch 83Ch 84Ch 85Ch 86Ch 87Ch 88Ch 89Ch 90Ch 91Ch 92Ch 93Ch 94Ch 95Ch 96Ch 97Ch 98Ch 99Ch 100

এই অধ্যায়ে কী শিখবে

⏱ আনুমানিক সময়: ১৫–২০ মিনিট · পূর্বশর্ত: আগের অধ্যায়ের ধারণা

০ / ১০০ অধ্যায়চালিয়ে যাও: অধ্যায় 44

অগ্রগতি এই browser-এ স্থানীয়ভাবে সংরক্ষিত হবে।

☁️
ক্লাউড API হ্যাক — AWS/GCP/Azure!
ক্লাউড ক্রেডেনশিয়াল লিকেজ, AWS S3 বাকেট টেকওভার, IAM এক্সপ্লয়েট ও মেটাডেটা অ্যাটাক
🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway
Skill checkpoint: Synthetic cloud configuration-এ IAM exposure ও excessive permission শনাক্ত করো।
Defense checkpoint: Secrets rotate, least privilege, logging ও public-access block প্রয়োগ করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।
Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।
☁️ গল্প ১: ক্লাউডের আকাশ কুসুম — AWS/GCP কি-লিক মহামারী
বর্তমান যুগের ৯০% ওয়েবসাইট ও মোবাইল অ্যাপ চলে ক্লাউডে — যেমন Amazon Web Services (AWS), Google Cloud Platform (GCP) অথবা Microsoft Azure।

কিন্তু ডেভেলপাররা যখন তাড়াহুড়ো করে অ্যাপ রিলিজ করে, তারা প্রায়শই অ্যাপের কোডের ভেতরে অথবা পাবলিক GitHub রিপোজিটরিতে ক্লাউডের মাস্টার কি (Master Key) ফেলে রেখে যায়! এই একটি চাবির ভুলে বিলিয়ন ডলারের কোম্পানির পুরো সার্ভার ধ্বংস হয়ে যেতে পারে!
🔑 গল্প ২: AWS Access Key বনাম GCP Service Account
ক্লাউডের চাবিগুলো চেনার কিছু বিশ্বস্ত প্যাটার্ন রয়েছে:
- AWS Access Key ID: এটি সবসময় শুরু হয় `AKIA...` দিয়ে (যেমন: `AKIAIOSFODNN7EXAMPLE`)। সাথে থাকে ৪০ অক্ষরের একটি Secret Key!
- Google Cloud Service Account: এটি দেখতে একটি JSON ফাইলের মতো, যার ভেতরে থাকে `private_key`, `client_email` ও `project_id`!

একজন রিভার্স ইঞ্জিনিয়ার যখন JADX দিয়ে কোনো APK খোলে, সে প্রথমেই `resources.arsc` অথবা `strings.xml`-এ সার্চ দেয়: `AKIA` বা `googleapis.com`!
# AWS CLI দিয়ে লিক হওয়া চাবি দিয়ে সার্ভার টেকওভার:
# Step 1: ক্রেডেনশিয়াল কনফিগার করো:
aws configure
# AWS Access Key ID: AKIA2XG7H...
# AWS Secret Access Key: wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY

# Step 2: ওই চাবির কী কী ক্ষমতা আছে চেক করো:
aws sts get-caller-identity

# Step 3: কোম্পানির সমস্ত গোপন ফাইল ও ডেটাবেস ব্যাকআপ লিস্ট করো:
aws s3 ls
# Download sensitive backup:
aws s3 sync s3://company-production-db-backups/ .
🛡️ গল্প ৩: ক্লাউড মেটাডেটা সার্ভিস (SSRF to Cloud Root)
যদি তুমি কোনো সার্ভারে SSRF (Server-Side Request Forgery) দুর্বলতা পাও, তবে ক্লাউডের জাদুকরী আইপি `169.254.169.254`-এ হিট করলেই ক্লাউড মেশিনটি তার নিজের অস্থায়ী IAM Role ও সিক্রেট টোকেন তোমার হাতে তুলে দেয়! একে বলে Instance Metadata Service (IMDS) হ্যাক!
💡 ক্লাউড কি হান্টিং রুল
গিটহাব বা এপিকে ফাইলে `AKIA`, `AIzaSy` (Firebase API) এবং `ghp_` (GitHub Token) রেজেক্স দিয়ে স্ক্যান করতে Trufflehog বা GitLeaks ব্যবহার করবে!

🧪 Cloud IAM Key Validator

লিক হওয়া AWS বা GCP কি ইনপুট দাও — এক্সেস পারমিশন লেভেল দেখো!

ল্যাবের ইনপুট দিয়ে "রান করো" বাটনে ক্লিক করো...
🎯 অধ্যায় 43 দক্ষতা যাচাই (৩টি প্রশ্ন)
সঠিক উত্তর বেছে নাও; প্রতিটি উত্তরের ব্যাখ্যা পড়ো।
❓ প্রশ্ন 1: Cloud IAM-এর নিরাপদ নীতি কী?
❓ প্রশ্ন 2: Leak হওয়া cloud key নিয়ে কী করবেন?
❓ প্রশ্ন 3: Cloud lab-এ credential কেমন হবে?

বিশ্বস্ত reference

আরও পড়ার জন্য প্রতিষ্ঠিত security standards ও guidance দেখো; প্রতিটি lab অনুমোদিত বা synthetic environment-এ করো।

Bristy Ma'am
বৃষ্টি ম্যাম 👩‍🏫
তোমার পার্সোনাল হ্যাকিং মেন্টর • অনলাইন
আরে সৌরভ! কেমন আছো? কোনো কনসেপ্ট বা কুইজে আটকালে আমাকে বলো, আমি বুঝিয়ে দিচ্ছি! ❤️