Web Hacking & Bug Bounty

🤔 Hacking মানেই কি খারাপ?Is Hacking Always Bad?

না! Hacking আসলে দক্ষতার সাথে সিস্টেম বোঝা এবং পরীক্ষা করা। Hacking তিন ধরনের:No! Hacking is actually about understanding and testing systems skillfully. There are three types of hacking:

💰 Bug Bounty কী?What is Bug Bounty?

বড় বড় কোম্পানি (Google, Facebook, Microsoft) তাদের সিস্টেমের দুর্বলতা খুঁজে বের করার জন্য Ethical Hacker-দের পুরস্কার (Bounty) দেয়। এটাই Bug Bounty।Big companies (Google, Facebook, Microsoft) pay rewards (Bounty) to ethical hackers for finding vulnerabilities in their systems. This is Bug Bounty.

📋 Bug Bounty-র নিয়মBug Bounty Rules

🔄 ব্রাউজার থেকে সার্ভার — কী হয়?Browser to Server — What Happens?

তুমি browser-এ টাইপ করো: https://example.com/login

Browser (Client)          ←→           Server

Step 1: DNS Lookup
  example.com → 93.184.216.34 (IP address)

Step 2: TCP Connection (3-way handshake)
  Client → SYN → Server
  Client ← SYN-ACK ← Server
  Client → ACK → Server

Step 3: TLS Handshake (HTTPS)
  SSL Certificate exchange, encryption setup

Step 4: HTTP Request পাঠানো
  GET /login HTTP/1.1

Step 5: HTTP Response পাওয়া
  200 OK + HTML page

Step 6: Browser HTML render করে

📤 HTTP Request — ব্রাউজার কী পাঠায়What the Browser Sends

📥 HTTP Response — সার্ভার কী পাঠায়What the Server Sends Back

📊 HTTP Status Codes — সার্ভারের জবাবServer's Reply

🍪 Cookies ও Sessions — পরিচয় মনে রাখাRemembering Identity

HTTP stateless — প্রতিটা request আলাদা। তাই Cookie/Session দিয়ে login state মনে রাখা হয়।HTTP is stateless — every request is separate. So Cookies/Sessions remember login state.

🔍 Security Headers — কী থাকা উচিতSecurity Headers — What Should Exist

🎯 কোন Tool কখন ব্যবহার করবো?Which Tool for What?

🦆 Burp Suite Setup

Burp Suite হলো Web Hacking-এর সবচেয়ে গুরুত্বপূর্ণ tool। এটা Browser ও Server-এর মাঝখানে বসে traffic দেখে এবং modify করে।Burp Suite is the most important tool in web hacking. It sits between the browser and server, viewing and modifying traffic.

Browser ←→ Burp Suite Proxy (127.0.0.1:8080) ←→ Server

Burp Suite-এর গুরুত্বপূর্ণ Modules:
Proxy     → Request intercept করো ও modify করো
Repeater  → একই request বারবার পাঠাও (manually)
Intruder  → Automated attack (brute force, fuzzing)
Scanner   → Automatic vulnerability scan (Pro only)
Decoder   → Base64, URL encode/decode
Comparer  → দুটো response তুলনা করো

🗺️ Nmap — Port ও Service খোঁজাFinding Ports & Services

📁 ffuf — লুকানো Directory খোঁজাFinding Hidden Directories

📡 Passive Recon — কোনো ছোঁয়া না দিয়েPassive Recon — Without Touching the Target

Passive Recon-এ সরাসরি target-এ কোনো request পাঠাই না। Public source থেকে তথ্য সংগ্রহ করি।In Passive Recon we don't send any requests to the target. We collect information from public sources.

🔍 Google Dorking

Google-এর advanced search operator ব্যবহার করে sensitive তথ্য খোঁজা।Using Google's advanced search operators to find sensitive information.

🌐 Subdomain Enumeration

🔎 WHOIS ও DNS InformationWHOIS & DNS Information

🎯 Active Recon — সরাসরি পরীক্ষাActive Recon — Direct Testing

🤔 SQL Injection কী?

ওয়েব অ্যাপ্লিকেশন যখন user-এর input সরাসরি SQL query-তে ঢুকিয়ে দেয়, তখন attacker ইচ্ছামতো SQL command inject করতে পারে।When a web application directly inserts user input into an SQL query, an attacker can inject arbitrary SQL commands.

🧪 SQLi Test করার উপায়How to Test for SQLi

💣 Common SQLi PayloadsCommon SQLi Payloads

🤖 SQLMap — AutomationAutomation

🤔 XSS কী?

XSS হয় যখন ওয়েবসাইট user-এর input sanitize না করে সরাসরি page-এ দেখায়। এতে attacker JavaScript code inject করতে পারে যা অন্য user-এর browser-এ চলে।XSS occurs when a website displays user input directly on the page without sanitizing it. This allows an attacker to inject JavaScript that runs in other users' browsers.

🧪 XSS Testing Payloads

🔍 XSS কোথায় খুঁজবো?Where to Look for XSS?

• 🔍 Search box — সার্চ করলে input reflect হয়Search box — input is reflected in search
• 💬 Comment/Review section — stored XSSComment/Review section — stored XSS
• 👤 Profile fields (name, bio) — stored XSSProfile fields (name, bio) — stored XSS
• 📧 Error messages — input reflect করেError messages — reflects input
• 🔗 URL parameters — reflected XSSURL parameters — reflected XSS
• 📝 Form inputs যেগুলো page-এ দেখায়Form inputs that display on page

🔑 Broken AuthenticationBroken Authentication

Authentication যদি দুর্বলভাবে implement করা হয়, তাহলে attacker account দখল করতে পারে।If authentication is poorly implemented, an attacker can take over accounts.

Brute Force — Burp Intruder দিয়েBrute Force — with Burp Intruder

🆔 IDOR — অন্যের Data দেখাViewing Others' Data

IDOR (Insecure Direct Object Reference) হয় যখন server user-এর permission check না করে শুধু ID দিয়ে data দিয়ে দেয়।IDOR occurs when the server gives data based only on an ID without checking the user's permission.

🎭 CSRF — ব্যবহারকারীকে দিয়ে কাজ করানোForcing Users to Perform Actions

CSRF (Cross-Site Request Forgery) হয় যখন attacker victim-কে একটা malicious link-এ click করায় এবং victim-এর browser স্বয়ংক্রিয়ভাবে target site-এ request পাঠায় (victim-এর cookie সহ)।CSRF occurs when an attacker tricks a victim into clicking a malicious link, and the victim's browser automatically sends a request to the target site (with the victim's cookies).

Victim ← bank.com-এ logged in

Attacker একটা evil page বানায়:
<img src="https://bank.com/transfer?to=attacker&amount=10000">

Victim evil page দেখে → Browser automatically request পাঠায়
→ bank.com victim-এর cookie দেখে → Transfer হয়ে যায়!

Fix: CSRF Token — random hidden value যা attacker জানে না

🖥️ SSRF — সার্ভারকে দিয়ে request করানোMaking the Server Fetch Resources

SSRF (Server-Side Request Forgery)-তে attacker server-কে internal network-এ বা cloud metadata-তে request পাঠাতে বাধ্য করে।In SSRF, the attacker forces the server to make requests to internal networks or cloud metadata endpoints.

👆 Clickjacking

Target site-কে একটা transparent iframe-এ লোড করে victim-কে অজান্তে button-এ click করানো।Loading the target site in a transparent iframe to trick the victim into unknowingly clicking buttons.

📤 File Upload Vulnerabilities

অনেক সাইটে ফাইল upload করার সুবিধা থাকে (profile picture, document)। যদি proper validation না থাকে, তাহলে PHP/ASP shell upload করে Remote Code Execution (RCE) পাওয়া সম্ভব।Many sites allow file uploads (profile picture, document). Without proper validation, it's possible to upload a PHP/ASP shell and get Remote Code Execution (RCE).

🗂️ Path Traversal — Directory ভেদ করে ফাইল পড়াReading Files Across Directories

Server যদি user-দেওয়া file path sanitize না করে, তাহলে ../ দিয়ে server-এর যেকোনো ফাইল পড়া সম্ভব।If the server doesn't sanitize user-provided file paths, using ../ can read any file on the server.

🤔 Business Logic Bug কী?What is a Business Logic Bug?

এই ধরনের বাগ application-এর নিজস্ব business rule ভঙ্গ করে। কোনো injection বা technical exploit নেই — শুধু logic-এর দুর্বলতা। এগুলো automated scanner ধরতে পারে না — তাই manual testing দরকার।These bugs violate the application's own business rules. No injection or technical exploit — just logic flaws. Automated scanners can't find them — manual testing is needed.

💸 Price Manipulation

🏃 Race Condition

একই সময়ে একাধিক request পাঠালে server ঠিকমতো handle করতে না পারলে double benefit পাওয়া যায়।Sending multiple requests at the same time can result in double benefits if the server can't handle it properly.

🔄 Password Reset Logic FlawsPassword Reset Logic Flaws

🔄 Proxy — Request দেখা ও পরিবর্তনViewing & Modifying Requests

🔁 Repeater — বারবার request পাঠানোSending Requests Repeatedly

🎯 Intruder — Automated AttackAutomated Attack

🔓 Decoder — Encode/Decode করাEncoding/Decoding

📊 Comparer — দুটো Response তুলনাComparing Two Responses

🚀 Bug Bounty শুরু করার ধাপSteps to Start Bug Bounty

📝 Professional Bug Report কিভাবে লিখবো?How to Write a Professional Bug Report?

📊 CVSS — Severity কিভাবে নির্ধারিত হয়How Severity is Determined

🏋️ Practice করার জায়গাPlaces to Practice

📅 ৬ মাসের Roadmap — Zero থেকে First Bug6 Month Roadmap — Zero to First Bug

📚 দরকারি ResourcesEssential Resources

🏅 OWASP Top 10 — Quick ReferenceOWASP Top 10 — Quick Reference