[হ্যাকিং লার্নিং – ০৭] : লিংক মাস্কিং : এক লিংকের কতো রং কতো ঢং

আমি নিশ্চিত আপনি হ্যাকিং লার্নিং করতে চান কিংবা না চান অন্তত লেখাটির শিরোনাম দেখে কৌতুহল কিংবা হাস্যরস অথবা গালি যাই হউক – সেটার জন্যই ক্লিক করে লেখার ভেতরে প্রবেশ করেছেন। ঢুকেই যেহেতু পড়েছেন তাহলে আপনার মতো মহাজ্ঞানী’কে বেশীক্ষণ দেরী না করিয়ে নিচের পুরো লেখাটার মর্ম এক লাইনে জানিয়ে বিদায় করে দিচ্ছি….

“এই যে আপনি রং ঢং শব্দের শিরোনাম দেখে লেখাতে ক্লিক করেছেন – সেটি কিন্ত পক্ষান্তরে আপনাকেই আমি ক্লিক করাতে বাধ্য করেছি। যদিও আপনি তা মানেন কিংবা না মানেন – তদুপরি হ্যাকার ঠিক এমনই আপনার মস্তিষ্কের ভেতর ঢুকে কাজ করবে; যদিও আপনি মনে করবেন আসলে সবটাই আপনি নিজে করছেন”।

যাই হউক যারা পুরো লেখা পড়বেন তাদের জন্য…..

URL/Link Masking হলো একটি লিংকের ভেতর আরেকটি লিংক লুকিয়ে রাখা, যাতে ইউজার বা ভিক্টিম দেখতে পাবে একটি লিংক কিন্তু ভেতরে থাকবে আপনার মূল হ্যাক লিংকটি।

এই লিংক মাস্কিং বিষয়টার একদম সহজ ও সাধারণ একটি উপায় হলো HTML-এ হাইপারলিংক, যেমন আপনি দেখতে পাচ্ছেন https://trickbd.com কিন্তু এটার ভেতরে আসলে আমার Google-এর লিংক।

আপনার কাছে হাস্যকর লাগছে?

হ্যাঁ, তা তো লাগতেই পারে – আপনার কাছে মনে হবে এটা তো এক নস্যি; তথাপি এটাও জানিয়ে রাখি যে – আজকের দিনে এখনও বহু বহু মানুষ আছে যারা “কিছু নাই তো খই ভাজ” টাইপ মানসিকতা নিয়ে শুধু লিংকই ক্লিক করে কৌতূহলবশত। এখন আপনি আপনার টার্গেট ভিক্টিমের কৌতূহল কীভাবে আনবেন, সেটা একান্তই আপনার সোশ্যাল ইঞ্জিনিয়ারিং টেকনিকের ওপর নির্ভর করবে [হ্যাকিং লার্নিং-০৫ পর্বের সকল মাইন্ড হ্যাকিং টেকনিক পড়ুন]। সেখানে চোখের সামনে একটি লিংক দেখে তার ভেতরের হাইপারলিংক পরীক্ষা করার থেকে “লিংকে কি আছে?” সেটাতেই আজকের ব্যস্ত মানুষের দুরন্ত মানসিকতার সবচেয়ে বড় দুর্বলতা।

URL/Link Masking বিষয়টা খুব সাধারণ একটি বিষয় মনে হলেও এটি কিন্তু হ্যাকিংয়ের অন্যতম একটি উপায়; সাধারণভাবে আমরা ফিশিং বা ম্যালওয়্যার লিংকে এন্টার করার আগেই সেটা দেখে সচেতন হয়ে এড়িয়ে যেতে পারলেও, একবার লিংক এন্টার করার পর সেটি ব্রাউজার জাভাস্ক্রিপ্ট রিডাইরেকশনে কোথায় শেষ হয় সেদিকে আর সহজেই নজর দিই না – এই খুব সহজ সরল বিষয়টাকেই Vulnerability হিসেবে বিবেচনা করে নানান হ্যাকিং অ্যাক্টিভিটি চলতে পারে।

এখন লিংক মাস্কিংয়ের ক্ষেত্রে যদিও URL শর্টনারের আসলে সরাসরি হ্যাকিং অ্যাক্টিভিটি নেই বটে – তথাপি Hacking Link-কে Mask করার জন্য এটিকে কাজে লাগানো যায়।

উদাহরণস্বরূপ CapLink বিষয়টি হতে সহজেই এটি বুঝতে পারেন [গিটহাব ওপেন সোর্স রিসোর্স]:
https://github.com/HumayunShariarHimu/CapLink

ডিপ্লয়মেন্ট লিংক: https://caplinking.vercel.app

Link Masking ছাড়াও হ্যাকিং টার্মে যেসকল লিংক ম্যানিপুলেশন আছে, সেগুলো জেনে নিন:

• URL Cloaking – ব্রাউজার বা সার্চ ইঞ্জিনকে দেখানো হয় এক ঠিকানা কিন্তু আসলে ভিতরে অন্য ঠিকানায় তথা হ্যাকিং লিংকে নিয়ে যাওয়া হয়। যেমন: লেখা “bank.com”, ক্লিক করলে যায় “hacker.com”-এ।
• Link Cloaking – ক্লিক করার লিংকটা এমনভাবে লুকানো থাকে যে বোঝা যায় না কোথায় নিয়ে যাবে, অর্থাৎ ড্রিবলিং করে তাতে ক্লিক করলে হ্যাকারের নিজের লিংকে ফোর্সড ডেস্টিনেটেড করবে।
• Hyperlink Spoofing – লিংকের উপরে যে নাম বা লেখা দেখা যায় সেটা আসলে আসল নয় বরং ভিতরে অন্য লিংক বসানো থাকে (এটিই মূল হ্যাকিং লিংক), যেমনটা লেখার শুরুতে উপরের উদাহরণে দেখানো হয়েছে।
• Anchor Text Spoofing – হ্যাকারে ক্লিকেবল লেখাটা একরকম দেখায় কিন্তু তার ভেতরে হ্যাকিং লিংক ইনজেক্টেড থাকে।
• URL Spoofing – আসল লিংকের মতো দেখতে প্রায় একই রকম ভুয়া URL বানানো, যেমন: facebook.com-এর বদলে faceb00k.com ইত্যাদি।
• URL Obfuscation – URL-কে এলোমেলো বা এনকোড বা অক্ষর বদলে এমন করা হয় যাতে মানুষ পড়ে বুঝতে না পারে এটি আসলে কোথায় যাবে। এই কনফিউশানটাকে কাজে লাগিয়ে দেখতে অর্থহীন কিন্তু ক্লিক করলে বিপদে পড়বে এমন লিংক তৈরি করা।
• URL Redirection – এক লিংকে ক্লিক করলে সেটা স্বয়ংক্রিয়ভাবে অন্য লিংকে নিয়ে যাওয়া [জাভাস্ক্রিপ্ট টাইম বেইজ অটোম্যাটিক ফাংশান হতে পারে]।
• Open Redirect – কোনো বিশ্বস্ত সাইটের রিডাইরেক্ট সুবিধা নিয়ে হ্যাকার সেটা misuse করে ভিক্টিমকে ম্যানিপুলেট করায়, যেমন: trusted.com?next=evil.com এমন করে।
• Redirect Chaining – একবার নয় বরং একাধিক লিংক ধরে ধরে রিডাইরেক্ট করা এবং সবিশেষ ভিক্টিমকে টায়ার্ড করে মানসিকভাবে ডেস্টিনেটেড হ্যাকার লিংকে ক্লিক করতে বাধ্য করানো; যেমন মুভি ডাউনলোড করতে গিয়ে বারবার এড আসতে থাকলে বিরক্ত হয়ে শেষমেশ ডাউনলোড বাটনে ক্লিক করানো, যাতে ম্যালওয়্যার থাকবে।
• JavaScript Redirect – পেজের ভিতরের JavaScript কোড চালিয়ে ফোর্সড করে ব্রাউজারকে অন্য হ্যাকারের লিংকে পাঠিয়ে দেওয়া, যাতে ইউজার কিছু বোঝার আগেই মূল পেজের পরিবর্তে হ্যাকারের পেজ রিলোড হয়।
• Meta Refresh Redirect – HTML পেজের ভিতরে টাইমার সেট করা থাকে কয়েক সেকেন্ড পর নিজে থেকেই যেন হ্যাকারের লিংক করা পেজে চলে যায়।
• 302 Redirect – সার্ভার সাময়িকভাবে বলে “এই পেজ এখন অন্য জায়গায় আছে” – এমন নোটিফাই করে হ্যাকিং লিংকে নিয়ে যাওয়া।
• Homograph Attack – দেখতে একই রকম কিন্তু আসলে আলাদা অক্ষর বা ডোমেইন ব্যবহার করে ভিক্টিমকে লিংকে ক্লিক করতে ম্যানিপুলেট করা, যেমন: ইংরেজি “a”-এর বদলে অন্য ভাষার “а” লেখা, যা ইউনিকোড ব্যবহারে আসলে ইলিউশন তৈরি করে।
• IDN Homograph – বিভিন্ন দেশের ভাষার অক্ষর ব্যবহার করে এমন ডোমেইন বানানো যা দেখতে আসল ডোমেইনের মতো লাগে।
• Punycode – ইউনিকোড ডোমেইনকে কম্পিউটারাইজ করানো।
• Typosquatting – মানুষের বানান ভুলের সুযোগ নিয়ে আসল সাইটের মতো নামের ডোমেইন বানানো, যেমন: google.com-এর বদলে gogle.com।
• Address Bar Spoofing – ব্রাউজারের অ্যাড্রেস বারে হ্যাকিং লিংক ইনজেক্ট করানো, যাতে ইউজার মনে করে সে আসল সাইটে আছে, অথচ সে ইতিমধ্যেই হ্যাকার সাইটের লিংকে আছে।

লিংক ম্যানিউপুলেশানের এই সকল কিছু একদম হাতে কলমে ট্রাই ও লার্নআপ করতে পারেন XLinK হতে [হ্যাকিং লার্নিং টিউটোরিয়াল পারপাসে – গিটহাব ওপেন সোর্স রিপোজিটরি] : https://github.com/HumayunShariarHimu/XLinK
ডিপ্লয়মেন্ট : https://xlinklab.vercel.app/

এনিওয়্যে সকলের জন্য শুভকামনা রইলো – ভালো থাকুন।
ওয়েব আমন্ত্রণ রইলো : PsychoTech