আগের ব্লগে দেখলাম আমরা কিভাবে লুকানো তথ্যগুলো ডেটাবেজ থেকে দেখা যায়।
এই ব্লগে আমরা দেখব কিভাবে ইউজারনেম এবং পাসওয়ার্ড না দিয়ে ডেটাবেসের লগইন করা যায় অর্থাৎ পাসওয়ার্ড না দিয়ে লগইন করবো কিভাবে ? আমরা লাইভ করে দেখবো 🤫
কিছুক্ষণের জন্য ভেবে নাও একটা ওয়েবসাইট আছে যে ওয়েবসাইটে তুমি লগইন করতে পারবে ইউজার নেম এবং পাসওয়ার্ড দিয়ে ঠিক যেমন ফেসবুকে লগইন কর মোবাইল নাম্বার আর পাসওয়ার্ড দিয়ে। এক্ষেত্রে তোমার ইউজার নেম ধরো wiener এবং তোমার পাসওয়ার্ড bluecheese তুমি যখন এগুলি দেওয়ার পর লগইন করবে তখন ওয়েবসাইটটি তোমার ইউজার নেম এবং পাসওয়ার্ড চেক করবে এবং চেক করার সময় SQL এলকুয়েরি টা এরকম হবে 👇
SELECT * FROM users WHERE username = ‘wiener’ AND password = ‘bluecheese’
কুয়েরিটি ডাটাবেসে চেক করবে যে এই ইউজারনেম এবং এই পাসওয়ার্ডটা কোন অ্যাকাউন্ট আছে কিনা যদি থাকে তাহলে তোমায় লগইন করাবে না হলে তোমাকে রিজেক্ট করে দেবে ।
কিন্তু এখানে হ্যাকার কিভাবে লগইন করবে পাসওয়ার্ড ইউজ করে লগইন করবে না তাহলে কিভাবে করবে? হ্যাকার লগইন করবি username এবং পাসওয়ার্ড ছাড়াই কিভাবে চলো দেখা যাক।
তুমি এখন কিচ্ছু না ভেবে নিচের দেওয়া লিংকে ক্লিক করো এবং ল্যাবটি একসেপ্ট করো 👇
https://0a79005603e388aec0dc9b7f0042009c.web-security-academy.net/
লিংকটাতে ক্লিক করার পর কিছুটা তোমরা এরকম দেখতে পাবে 👇
আমি ব্লগের প্রথম থেকেই ইউজার নেম এবং পাসওয়ার্ড বলে দিয়েছি কিন্তু আমরা ওই ইউজারনেম এবং পাসওয়ার্ড ইউজ করব না কারণ তাহলে তো জিনিসটা হ্যাক হচ্ছে না। আমরা লগইন করব ইউজারনেম এবং পাসওয়ার্ড না দিয়েই ঠিক যেভাবে হ্যাকাররা করে 🤫
আমরা ইউজার নামের জায়গায় দেব administrator’-- আর পাসওয়ার্ড যেটা দেবো🤔, আরে কি দেবো পাসওয়ার্ড তোমাদের নিজের ইচ্ছা মত যা খুশি দিয়ে দাও পাসওয়ার্ড ।
boom 💪
তোমাদেরকে আবারো অসংখ্য অভিনন্দন তোমরা লগইন সিস্টেম কিভাবে হ্যাক করতে হয় তা শিখে ফেলেছো। কিন্তু মনে রাখবে সমস্ত ওয়েবসাইটে কিন্তু এত সহজে হ্যাক করার সহজ নয় কারণ তাদের সিকিউরিটি সিস্টেম অনেক কঠিন হয় কিন্তু তাও তোমরা অনেক ওয়েবসাইটেই এটা ট্রাই করে দেখতে পারো আর নিজেদের নলেজ বাড়াতে পারো।
কিন্তু কি করে আমরা লগইন করলাম ?
এমনকি যেমন ইচ্ছা তেমন পাসওয়ার্ড দিয়ে আমরা লগইন করে ফেললাম কি করে 🤔?
আবার বলছি এটা সম্ভব হয়েছে ওই ডবল ড্যাসের (--) জন্য ।
প্রথমে দেখিয়ে দিয় এক্ষেত্রে SQL কুড়িটি কেমন হয়েছে । 👇
SELECT * FROM users WHERE username = ‘administrator’—’ AND password = ‘djdjdh’
এক্ষেত্রে আমি একটি আমার নিজের মতো পাসওয়ার্ড দিয়েছি, নিজের মনে যা এসছে তাই দিয়েছি ।
আসলে মেন ব্যাপার হল ইউজারনেম অ্যাডমিনিস্ট্রেটর এর পরে, যেখান থেকে ডবল dash (--) শুরু হয়েছে SQL কুয়েরিটি সেখান থেকে কাজ করা বন্ধ করে দিয়েছে। অর্থাৎ তার পর থেকে কুয়েরিটি কার্যহীন, পুরো লাল রং পর্যন্ত ।
তাহলে যে সমস্ত ওয়েবসাইটে সিকিউরিটি একটু লো থাকে সে ওয়েবসাইটে খুব সহজেই লগইন করা যাবে এবং পাসওয়ার্ড না দিয়েও ।
পরবর্তী ব্লকের জন্য ওয়েট করো পরবর্তী ব্লকটি হবে অ্যান্ড্রয়েড হ্যাকিং নিয়ে 🤫
মন্তব্যসমূহ
একটি মন্তব্য পোস্ট করুন