AI এবং এর ব্যবহারের নিরাপত্তা ঝুঁকিতে ঠাসা 2023 SANS হলিডে হ্যাক চ্যালেঞ্জ 21টি উদ্দেশ্যের একটি সিরিজ নেভিগেট করার একটি সমৃদ্ধ অভিজ্ঞতা ছিল যা একাধিক সাইবার নিরাপত্তা দক্ষতা পরীক্ষিত এবং প্রসারিত করেছে।
আমার জন্য সেরা চ্যালেঞ্জগুলি ছিল একটি পেন্টেস্ট রিপোর্টে AI হ্যালুসিনেশন খুঁজে বের করা, একটি লিনাক্স সিস্টেমে সুবিধা বৃদ্ধি করা, গেম বয় গেমগুলিতে প্রতারণার সন্ধান করা, Azure REST API ব্যবহার করে Azure ফাংশন অ্যাপের সোর্স কোড অনুসন্ধান করা এবং শেষ পর্যন্ত দুর্বলদের শোষণ করা। SSH সার্টিফিকেট সেবা, ব্যবহার অনুশীলন ইমপ্যাকেট টুল স্যুট এবং সার্টিপি দুর্বল শোষণ করতে সক্রিয় ডিরেক্টরি শংসাপত্র পরিষেবাদি, এবং স্পেস অ্যাপে এসকিউএল ইনজেকশন এবং জাভা ডিসিরিয়ালাইজেশন দুর্বলতাকে কাজে লাগানো।
নীচে, আমি সবচেয়ে উল্লেখযোগ্য চ্যালেঞ্জগুলির মধ্যে কিছু ক্র্যাক করার জন্য যে পথটি অনুসরণ করেছি তা শেয়ার করছি।
রিপোর্টিনেটর
চ্যাটএনপিটি, একটি বৃহৎ ভাষা মডেল (এলএলএম) যা কিছু চ্যালেঞ্জ তৈরির জন্য ব্যবহৃত হয়, একটি তৈরি করেছে অনুপ্রবেশ পরীক্ষার রিপোর্ট উত্তর মেরু সিস্টেমের নেটওয়ার্কে আবিষ্কৃত দুর্বলতার উপর, কিছু আসন্ন চ্যালেঞ্জের অংশ হিসাবে বৈশিষ্ট্যযুক্ত। যাইহোক, চ্যাটএনপিটি প্রতিবেদনে কিছু বিবরণকে হ্যালুসিনেশন করেছে। চ্যাটজিপিটি, বা অন্য পছন্দের এলএলএম ব্যবহার করে, কাজটি ছিল হ্যালুসিনেটেড তথ্য সহ বিভাগগুলিকে পতাকাঙ্কিত করা। আমার দৃষ্টিভঙ্গি ছিল বিষয়বস্তু সম্পর্কে ChatGPT নির্দিষ্ট প্রশ্ন জিজ্ঞাসা করা যাতে আমি প্রথমে কী বুঝতে পারিনি এবং শেষ পর্যন্ত অসঙ্গতিগুলি আবিষ্কার করতে পারি। নয়টি বিভাগের মধ্যে তিনটিতে ত্রুটি রয়েছে।
ChatGPT দ্বারা নিশ্চিত করা হয়েছে, এই বিভাগে একটি অবৈধ পোর্ট নম্বর ছিল 88,555, সর্বোচ্চ বৈধ পোর্ট নম্বর 65,535 থেকে অনেক উপরে:
এখানে আমি অবিলম্বে লক্ষ্য করেছি যে SEND একটি HTTP অনুরোধ পদ্ধতি নয়।
চ্যাটএনপিটি রিপোর্টের আট নম্বর সেকশনে উল্লেখ করা পিএইচপি সংস্করণ নম্বরটিকে HTTP প্রোটোকল সংস্করণ হিসাবে বা এই বিভাগে "HTTP HEAD অনুরোধ" করার জন্য ভুল পাঠ্য হিসাবে বিভ্রান্ত করেছে। উপরন্তু, অবস্থান শিরোনামে উইন্ডোজ নিবন্ধন বা পণ্য কীগুলি প্রকাশ করা একটি খারাপ পরামর্শ।
লিনাক্স PrivEsc
এই চ্যালেঞ্জে, চূড়ান্ত উদ্দেশ্য ছিল একটি প্রশ্নের উত্তর দেওয়া কিন্তু সেই প্রশ্নটি একটি দুর্গম এক্সিকিউটেবলের মধ্যে লুকিয়ে ছিল:
যখন আছে বিভিন্ন পদ্ধতি একটি লিনাক্স মেশিনে বিশেষাধিকার বৃদ্ধি করতে, এই চ্যালেঞ্জটি একটি কাস্টম এক্সিকিউটেবল নামক অনুমতি দেয় সহজ কপি SUID বিট সহ অপব্যবহার করা হবে। যদি একটি ফাইলের মালিকের জন্য SUID বিট সেট করা হয় এবং মালিক হয় শিকড়, তারপর সেই ফাইলটি সর্বদা রুট সুবিধার সাথে এমনকি সিস্টেমে নন-রুট ব্যবহারকারীদের দ্বারা কার্যকর করা হয়। কোনো ত্রুটির আউটপুট বাতিল করার সময় আমি মালিকের জন্য SUID বিট সেট করা নিয়মিত ফাইলগুলির জন্য সম্পূর্ণ সিস্টেম অনুসন্ধান করতে নিম্নলিখিত কমান্ডটি ব্যবহার করেছি:
সহজ কপি মানদণ্ডের একটি দুর্বল, কিন্তু সরলীকৃত সংস্করণ বলে মনে হচ্ছে cp উপযোগিতা প্রকৃতপক্ষে সহায়তা বার্তাটি একই পরামর্শ দিয়েছে:
ব্যবহার: simplecopy
আমার পদ্ধতিটি নিম্নোক্ত ছিল: রুট সুবিধা সহ একজন ব্যবহারকারীর জন্য তথ্য তৈরি করুন, এই তথ্যটি এর একটি অনুলিপিতে যুক্ত করুন / Etc / passwd ফাইল, তারপর পুরানো প্রতিস্থাপন করুন passwd কোন কপি সহ ফাইল। পরবর্তী, ব্যবহার করুন su নতুন ব্যবহারকারী হিসেবে লগইন করতে।
সিস্টেমে রুট অ্যাক্সেসের সাথে, আমি এক্সিকিউটেবল খুঁজে পেতে সক্ষম হয়েছি রানমেটো উত্তর ভিতরে /শিকড়, এটি চালান এবং উত্তরটি অনুমান করুন: সান্তা.
উত্তরটিও কনফিগার ফাইলে দেওয়া হয়েছিল /etc/runtoanswer.yaml, কিন্তু এই ফাইলটি শুধুমাত্র রুট সুবিধা বা ব্যবহার করে পড়া যাবে সহজ কপি এটা কপি করতে /dev/stdout.
গেম কার্তুজ: ভলিউম 2 এবং ভলিউম 3
দুটি চ্যালেঞ্জ গেম বয় রম ফাইলগুলির হালকা বিপরীত প্রকৌশল জড়িত। প্রথমটি ছিল একটি গেম যেখানে উদ্দেশ্য ছিল একজন গার্ডকে অতিক্রম করা, একটি পোর্টাল প্রকাশ করা এবং এয়ারওয়েভ উত্তরটি ডিকোড করা। আমাদেরকে গেমটির দুটি সংস্করণ দেওয়া হয়েছিল এবং এটি দেখার জন্য একটি ইঙ্গিত রয়েছে পরিবর্তন তাদের মধ্যে. একটি সংস্করণ থেকে অন্য সংস্করণে কয়েকটি ভিন্ন হেক্স বাইট অনুলিপি করা পোর্টালটি প্রকাশ করার জন্য যথেষ্ট ছিল, যার ফলে মোর্স কোডে উত্তর সম্প্রচারিত একটি রেডিও সহ একটি রুম ছিল:
মোর্স কোড |
দা-দা-ডিট |
দি-দা-দি-ডিট |
দা-দা-দা-দা-দা |
দি-দা-ডিট |
দা-দি-দা-দাহ |
|
বার্তা |
g |
l |
0 |
r |
y |
দ্বিতীয়টি ছিল একটি খেলা যেখানে আপনি কয়েন সংগ্রহ করতে লাফিয়ে পয়েন্ট অর্জন করতে পারেন; যাইহোক, 998 পয়েন্টের বেশি উপার্জন করলে আপনার পয়েন্ট 0-এর কাছাকাছি চলে যাবে এবং নির্দিষ্ট শর্তে, একটি ওভারফ্লো ত্রুটি সম্পর্কে একটি বার্তা ট্রিগার করবে। উদ্দেশ্য ছিল মানচিত্রের পরবর্তী অংশে ভাসমান পদক্ষেপগুলি যেখানে পতাকাটি সংরক্ষণ করা হয়েছিল তা প্রকাশ করা, তবে এর জন্য লাফ দেওয়ার দক্ষতার প্রয়োজন ছিল। পরিবর্তে, আমি কিভাবে সাহায্যে উড়তে চিন্তা বিজিবি গেম বয় এমুলেটর এবং ম্যাপে প্লেয়ারের y-অবস্থান নিয়ন্ত্রণ করে এমন হেক্স বাইট খুঁজে বের করার জন্য গেমপ্লে চলাকালীন র্যামের ভিজ্যুয়াল পরিদর্শন এবং এর চিট অনুসন্ধানকারী ফাংশনের সংমিশ্রণ - মূলত, আমি একটি গেমশার্ক কোড।
পতাকা ছিল !টম+এল্ফ!.
শংসাপত্র SSHenanigans
যদিও পাবলিক-প্রাইভেট কী জোড়ার জায়গায় সার্টিফিকেট ব্যবহার করলে SSH-এর মাধ্যমে প্রমাণীকরণের নিরাপত্তা উন্নত হয়, একটি ভুল কনফিগার করা SSH সার্টিফিকেট সাইনিং পরিষেবা আক্রমণকারীকে অন্য ব্যবহারকারী হিসেবে প্রমাণীকরণের জন্য অবৈধভাবে একটি শংসাপত্র পাওয়ার অনুমতি দিতে পারে। চ্যালেঞ্জটি নিম্নলিখিত উপায়ে সেট আপ করা হয়েছিল।
An অ্যাজুর ফাংশন অ্যাপ স্থাপন করা হয়েছে Northpole-ssh-certs-fa.azurewebsites.net যে কেউ একটি SSH পাবলিক কী প্রদান করে তাকে SSH সার্টিফিকেট ফেরত দেয়। এই সার্টিফিকেটগুলিকে SSH-এর উপর প্রমাণীকরণ করতে ব্যবহার করা যেতে পারে ssh-server-vm.santaworkshopgeeseislands.org ব্যবহারকারী হিসাবে মনিটর.
এই ডোমেনের হোস্টটি একটি Azure ভার্চুয়াল মেশিন, তাই লগ ইন করার পর আমার প্রথম পদক্ষেপটি থেকে তথ্য সংগ্রহ করা ছিল উদাহরণ মেটাডেটা যেমনটি পরে Azure REST API-তে কল করার জন্য প্রয়োজন হবে, বিশেষত, আমার সাবস্ক্রিপশন আইডি এবং সংস্থান গোষ্ঠীর নাম প্রয়োজন। এই APIটি ব্যবহার করার জন্য আমার একটি অ্যাক্সেস টোকেনও দরকার ছিল, যা আমি অর্জন করতে পেরেছিলাম একটি পরিচালিত পরিচয় ব্যবহার করে. Azure REST API-তে কল করার সময় এই অর্জিত টোকেনটি একটি HTTP অনুমোদন শিরোনামে ব্যবহার করা আবশ্যক।
এই মুহুর্তে, আমার কাছে API কল করার জন্য প্রয়োজনীয় সবকিছু ছিল উৎস নিয়ন্ত্রণ কনফিগারেশন পান Azure ফাংশন অ্যাপের। আমি কল করেছি এবং কনফিগারেশন বৈশিষ্ট্যগুলির মধ্যে আমি একটি URL খুঁজে পেয়েছি GitHub-এ অ্যাপের সোর্স কোড.
সোর্স কোডের পরিদর্শন থেকে জানা গেছে যে অ্যাপটি একটি দ্বিতীয় প্যারামিটার গ্রহণ করে: অধ্যক্ষ. যদি HTTP POST এর কাছে অনুরোধ করে /api/create-cert শেষবিন্দু পাঠায় না জন্য একটি মান অধ্যক্ষ, তারপর একটি ডিফল্ট পরী ফিরিয়ে দেওয়া হয়, কিন্তু এখানে একটি দুর্বলতা রয়েছে। ব্যবহার বার্প স্যুট আমি HTTP POST অনুরোধটি আটকাতে পারি এবং মান সন্নিবেশ করতে পারি অ্যাডমিন. আমি অনুরোধ করতে জানতাম অ্যাডমিন কারণ এটি প্রধান ছিল /etc/ssh/auth_principals/alabaster ভার্চুয়াল মেশিনে ফাইল এবং আমি অ্যালাবাস্টারের হোম ডিরেক্টরিতে অ্যাক্সেস পেতে চেয়েছিলাম।
হাতে প্রশাসক প্রধানের জন্য একটি SSH শংসাপত্র সহ, আমি একই ভার্চুয়াল মেশিনে লগ ইন করেছি তৈলস্ফটিক এবং তার হোম ডিরেক্টরিতে অ্যালাবাস্টারের TODO তালিকা পাওয়া গেছে। তালিকায় পতাকা শব্দ রয়েছে: জিঞ্জারব্রেড.
সক্রিয় ডিরেক্টরি
আগের চ্যালেঞ্জের মতো একই ভার্চুয়াল মেশিনে শুরু করে, এই চ্যালেঞ্জটি কীভাবে একটি ভুল কনফিগার হয়েছে তা দেখেছে সক্রিয় ডিরেক্টরি সার্টিফিকেট পরিষেবা অন্য ব্যবহারকারী হিসাবে প্রমাণীকরণের জন্য আক্রমণকারী দ্বারা অপব্যবহার করা যেতে পারে। হিসাবে তৈলস্ফটিক আমি একটি ডিরেক্টরি পূর্ণ ছিল ইমপ্যাকেট টুলস কিন্তু তাদের বেশিরভাগের জন্য একটি টার্গেট সার্ভারের ডোমেন নাম এবং আইপি ঠিকানা এবং লগ ইন করার জন্য একটি ব্যবহারকারীর নাম এবং পাসওয়ার্ড প্রয়োজন - তথ্য আমার কাছে এখনও ছিল না।
তাই একটি ভাল প্রথম পদক্ষেপ ছিল Azure REST API-এর জন্য আমার অনুমতিগুলি খুঁজে বের করা কারণ শুধুমাত্র একটি অনুমোদন অস্বীকার বার্তা পূরণের জন্য একটির পর একটি API কল করার দরকার নেই। এইভাবে, আমি সম্পদ গোষ্ঠীর জন্য সমস্ত অনুমতি তালিকাভুক্ত করা হয়েছে যা আমি আগের চ্যালেঞ্জে আবিষ্কার করেছি।
যেহেতু আমি দেখেছি আমার কাছে কী ভল্ট পড়ার আশেপাশে বেশ কয়েকটি অনুমতি রয়েছে, আমি সেখানে চলে গেলাম তাদের তালিকাভুক্ত করা এবং দুটি পাওয়া গেছে: উত্তরপোল-ইট-কেভি এবং Northpole-ssh-certs-kv.
এপিআই স্যুইচ করার সময়। এখন পর্যন্ত আমি এন্ডপয়েন্টে কল করছিলাম management.azure.com কিন্তু Azure কী ভল্টের কিছু অংশ চালু আছে vault.azure.net এবং এই সম্পদের নিজস্ব অ্যাক্সেস টোকেন প্রয়োজন। আবার আমি আমার ব্যবহার একটি অ্যাক্সেস টোকেন অর্জন করতে পরিচালিত পরিচয় কিন্তু এই সময় সম্পদ স্যুইচিং vault.azure.net.
In উত্তরপোল-ইট-কেভি, আমি একটি গোপন জন্য নাম পাওয়া গেছে. সেই নামটি ব্যবহার করে, আই এই গোপন জন্য মান অনুরোধ, যা পাওয়ারশেল স্ক্রিপ্ট হিসাবে প্রমাণিত হয়েছে একটি সক্রিয় ডিরেক্টরি ব্যবহারকারী তৈরি করা নামক elfy. সমালোচনামূলকভাবে, আমার কাছে এখন ইমপ্যাকেট টুল স্যুট ব্যবহার করার জন্য প্রয়োজনীয় সমস্ত তথ্য ছিল।
ব্যবহার GetADUsers.py ডোমেনে অন্য ব্যবহারকারীকে প্রকাশ করেছে যা আগ্রহের হতে পারে: wombleycube. আমি ব্যবহার করে সক্রিয় ডিরেক্টরি সার্ভারে SMB এর মাধ্যমে সংযোগ করতে সক্ষম হয়েছি smbclient.py. আগ্রহের ফাইল শেয়ার একটি অন্তর্ভুক্ত অতি_গোপন_গবেষণা ডিরেক্টরি কিন্তু আমি এটি হিসাবে পড়তে পারিনি elfy.
সৌভাগ্যবশত, আমার কাছে অন্য টুল অ্যাক্সেস ছিল: সার্টিপি. এটি সক্রিয় ডিরেক্টরি শংসাপত্র পরিষেবাগুলির জন্য ভুল কনফিগার করা শংসাপত্র টেমপ্লেটগুলি খুঁজে পেতে এবং তাদের অপব্যবহার করতে ব্যবহৃত হয়। টুলটি একটি দুর্বল টেমপ্লেট তালিকাভুক্ত করেছে কারণ এটি একটি শংসাপত্রের অনুরোধকারীকে একটি নির্বিচারে সরবরাহ করার অনুমতি দেয় বিষয়ের বিকল্প নাম এবং সরবরাহকৃত নামের জন্য ক্লায়েন্ট প্রমাণীকরণ প্রদানকারী জারি করা শংসাপত্র।
সঙ্গে একটি সার্টিফিকেট অনুরোধ করার পরে wombleycube বিষয়ের বিকল্প নামের ক্ষেত্রে সন্নিবেশ করা হয়েছে, আমি এনটি হ্যাশ পেতে সার্টিপি ব্যবহার করেছি wombleycube সেই সার্টিফিকেট ব্যবহার করে। তারপর, Wombley's হ্যাশ পাস করে smbclient.py, আমি SMB এর মাধ্যমে সক্রিয় ডিরেক্টরি সার্ভারের সাথে সংযোগ করতে সক্ষম হয়েছি wombleycube এবং অ্যাক্সেস পেতে অতি_গোপন_গবেষণা ডিরেক্টরি, যাতে পরবর্তী চ্যালেঞ্জের জন্য নির্দেশাবলী রয়েছে ইনস্ট্রাকশন ফর এন্টারিং স্যাটেলাইটগ্রাউন্ডস্টেশন.টিক্সটি.
স্পেস আইল্যান্ড দরজা অ্যাক্সেস স্পিকার
স্পেস সিস্টেমে চ্যালেঞ্জগুলিতে অ্যাক্সেস পেতে স্থলভাগ, পাসফ্রেজ বলার জন্য Wombley Cube-এর একটি নকল ভয়েস তৈরি করতে একটি LLM ব্যবহার করতে হবে৷ Wombley-এর একটি অডিও ফাইল দেওয়া একটি গল্প এবং পাসফ্রেজ বলা, এটি ব্যবহার করা তুচ্ছ ছিল LOVO AI পাসফ্রেজ বলতে এবং সফলভাবে প্রমাণীকরণ করতে Wombley's-এর অনুকরণ করে একটি ভয়েস তৈরি করতে।
অতিরিক্ত সুরক্ষা ব্যতীত, LLM-এর যুগে ভয়েস প্রমাণীকরণ একটি নিরাপত্তা ব্যবস্থা হিসাবে গুরুতর চ্যালেঞ্জের সম্মুখীন হয়।
ক্যামেরা অ্যাক্সেস
পাসফ্রেজটি বলার পর, আমি একটি ট্রেনে চড়েছিলাম যেটি আমাকে গ্রাউন্ড সেগমেন্টে নিয়ে যায় যেটি একটি ইন-গেমের সাথে যোগাযোগের জন্য দায়ী কিউবস্যাট, এক ধরনের ছোট উপগ্রহ। গ্রাউন্ড স্টেশনে আমাদের দেওয়া হয়েছিল ক ওয়্যারগার্ড এই কিউবস্যাটে একটি এনক্রিপ্ট করা সংযোগ সেট আপ করার জন্য কনফিগারেশন।
এই স্যাটেলাইটের সফটওয়্যারটির সাথে সামঞ্জস্যপূর্ণ NanoSat MO ফ্রেমওয়ার্ক (NMF), একটি সফ্টওয়্যার ফ্রেমওয়ার্ক যা ইউরোপীয় স্পেস এজেন্সি কিউবস্যাটস দ্বারা তৈরি করেছে। এই কাঠামো একটি সঙ্গে আসে SDK এর স্পেস অ্যাপস তৈরি এবং পরীক্ষা করার জন্য। এটি একটি গ্রাউন্ড অ্যাপ এবং কমান্ড লাইন টুল হিসাবে উভয়ই কনজিউমার টেস্ট টুল (CTT) প্রদান করে, অনবোর্ড সুপারভাইজার, একটি সফ্টওয়্যার অর্কেস্ট্রেটরের সাথে সংযোগ করার জন্য যেটি স্পেস অ্যাপ শুরু করা এবং বন্ধ করার পাশাপাশি অন্যান্য কাজগুলি সমন্বয় করার যত্ন নেয়।
চ্যালেঞ্জটি ছিল কীভাবে অনবোর্ড ক্যামেরা অ্যাপকে ছবি তোলার নির্দেশ দেওয়া যায়, তারপরে স্ন্যাপশটটি পুনরুদ্ধার করা। আমি নিম্নলিখিত পদক্ষেপ গ্রহণ করেছি.
CTT ইন্টারফেস বুট করার পরে, আমি সুপারভাইজারের সাথে সংযোগ করতে সুপারভাইজারের URI এ প্রবেশ করেছি। তারপরে আমি উপলব্ধ অ্যাপগুলি পরীক্ষা করেছি, ক্যামেরা অ্যাপটি খুঁজে পেয়েছি এবং এটি শুরু করেছি। ক্যামেরা অ্যাপটি তার ইউআরআই ফিরিয়ে দিয়েছে, যা আমি এটির সাথে সংযোগ করতে ব্যবহার করেছি। এর পরে, আমি Base64SnapImage অ্যাকশনটি কার্যকর করেছি, যা অনবোর্ড ক্যামেরাকে একটি ছবি তোলার নির্দেশ দিয়েছে।
ক্যামেরা অ্যাপটি একটি প্যারামিটার পরিষেবাও অফার করে যা দুটি মান ফেরত দিতে পারে: নেওয়া স্ন্যাপগুলির সংখ্যা এবং বেস64 এ এনকোড করা JPG স্ন্যাপশট। যাইহোক, CTT ইন্টারফেসটি চিত্রটি দেখার বা ইন্টারফেস থেকে সরাসরি প্যারামিটার মান অনুলিপি করার উপায় প্রদান করে বলে মনে হয় না, যদিও আমি দেখতে পাচ্ছিলাম যে পছন্দসই মান উপস্থিত ছিল। তাই আমি ইমেজ অর্জনের একটি বৃত্তাকার পদ্ধতি প্রয়োজন.
আমি আবিষ্কার করেছি যে CTT ইন্টারফেসে একটি আছে জেনারেশন সক্ষম করুন বোতাম যা একটি প্যারামিটার মান নিয়মিতভাবে নির্ধারিত প্রকাশনাকে ট্রিগার করে। CTT কমান্ড লাইন থেকে, আমি তখন পছন্দসই প্যারামিটারে সাবস্ক্রাইব করতে পারতাম, এটি প্রকাশিত হওয়ার সময় মানটি পেতে এবং এটিকে একটি ফাইলে পুনঃনির্দেশ করতে পারি।
যেহেতু আমি একটি ডকার কন্টেইনারে CTT চালাচ্ছিলাম, তাই আমি ফাইলটি আমার হোস্ট সিস্টেমে কপি করেছি ডকার সিপি, ফাইলের বিষয়বস্তু থেকে ক্রাফ্টটি সরানো হয়েছে, তারপর পতাকা দেখতে বেস64 ছবিটি ডিকোড করেছে: ছুটির মরসুম জয়!.
মিসাইল ডাইভারশন
চূড়ান্ত চ্যালেঞ্জ ছিল ব্যবহার করা মিসাইল-টার্গেটিং-সিস্টেম পৃথিবী থেকে সূর্যের দিকে একটি ক্ষেপণাস্ত্র পুনঃনির্দেশিত করতে ইন-গেম কিউবস্যাটে অ্যাপ। এই অ্যাপটি শুধুমাত্র একটি কাজ প্রদান করেছে: ডেবাগ্ করা. এটি চালানো এসকিউএল প্রিন্ট আউট ছাড়া অনেক কিছু বলে মনে হয় না সংস্করণ কমান্ড এবং এর আউটপুট যেন অ্যাপ দ্বারা ব্যবহৃত ডাটাবেস দ্বারা চালিত হয়েছে:
সংস্করণ(): 11.2.2-MariaDB-1:11.2.2+maria~ubu2204
আমি অবিলম্বে আশ্চর্য হয়েছিলাম যে খেলার সময় একটি এসকিউএল ইনজেকশন দুর্বলতা ছিল কিনা। CTT ইন্টারফেস এর জন্য একটি যুক্তি প্রবেশ করার জন্য একটি ক্ষেত্র প্রদান করেছে ডেবাগ্ করা কর্ম, তাই আমি অন্য কমান্ড ইনজেকশন করার চেষ্টা করেছি:
; CURRENT_USER() এর জন্য অনুদান দেখান;
targeter@% এর জন্য অনুদান: *.* তে ব্যবহার অনুদান করুন।
targeter@% এর জন্য অনুদান: গ্রান্ট সিলেক্ট করুন, `মিসাইল_টার্গেটিং_সিস্টেম`। `satellite_query` TO `targeter`@`%` |
targeter@% এর জন্য অনুদান: `missile_targeting_system`.`pointing_mode` TO `targeter`@`%` এর জন্য অনুদান নির্বাচন করুন |
targeter@% এর জন্য অনুদান: `মিসাইল_টার্গেটিং_সিস্টেম` চালু করুন। `মেসেজিং` থেকে `টার্গেটার`@`%` |
targeter@% এর জন্য অনুদান: `মিসাইল_টার্গেটিং_সিস্টেম`। `টার্গেট_কোঅর্ডিনেট` থেকে `টার্গেটার`@`%` এর জন্য গ্রান্ট সিলেক্ট করুন |
targeter@% এর জন্য অনুদান: `missile_targeting_system`.`pointing_mode_to_str` TO `targeter`@`%` এর জন্য অনুদান নির্বাচন করুন |
তাহলে, ডাটাবেস লুণ্ঠনের সময়! দ্য পয়েন্টিং_মোড এবং pointing_mode_to_str সারণীগুলি নির্দেশ করে যে ক্ষেপণাস্ত্রটি বর্তমানে কোথায় নির্দেশ করছে:
; পয়েন্টিং_মোড থেকে * নির্বাচন করুন;
আইডি: 1 | সংখ্যাসূচক_মোড: 0 |
; পয়েন্টিং_মোড_টু_স্ট্র থেকে * নির্বাচন করুন;
আইডি: 1 | সংখ্যাসূচক_মোড: 0 | str_mode: আর্থ পয়েন্ট মোড | str_desc: পয়েন্টিং_মোড 0 হলে, টার্গেটিং সিস্টেম টার্গেট_কোঅর্ডিনেট পৃথিবীতে প্রয়োগ করে। |
আইডি: 2 | সংখ্যাসূচক_মোড: 1 | str_mode: সান পয়েন্ট মোড | str_desc: পয়েন্টিং_মোড 1 হলে, স্থানাঙ্ক উপেক্ষা করে সূর্যের দিকে সিস্টেম পয়েন্টগুলিকে লক্ষ্য করে। |
এই তথ্য থেকে আমি দেখতে পাচ্ছি যে আমার পরিবর্তন করা দরকার সংখ্যাসূচক_মোড মান পয়েন্টিং_মোড টেবিল থেকে 1, কিন্তু আমার কাছে সেই টেবিলটি আপডেট করার অনুমতি ছিল না।
আমার কাছে নতুন সারি সন্নিবেশ করার অনুমতি ছিল satellite_query টেবিল, যেটিতে বর্তমানে একটি সারি রয়েছে যার একটি এখনও অজানা মান রয়েছে৷ লক্ষ্য কলাম এবং জাভা ক্লাসের সোর্স কোড বলা হয় SatelliteQueryFileFolderUtility মধ্যে ফলাফল কলাম।
এই বিন্দু পর্যন্ত থেকে আউটপুট ডেবাগ্ করা ক্রিয়াটি নীচের অংশে একটি ফলকে সহজেই দেখা যায়৷ অ্যাপস লঞ্চার পরিষেবা CTT ইন্টারফেসে সুপারভাইজার দ্বারা প্রদত্ত ট্যাব। যাইহোক, বস্তুর মান ফলকে সঠিকভাবে রেন্ডার হচ্ছে বলে মনে হচ্ছে না। আদর্শভাবে, বস্তুর হেক্স ডাম্প দেখতে ভাল হবে, যা এর সাহায্যে পাওয়া যেতে পারে Wireshark অথবা SQL ব্যবহার করে HEX ফাংশন এটি প্রকাশ করেছে যে আমি একটি সিরিয়ালাইজড জাভা অবজেক্ট নিয়ে কাজ করছিলাম।
পর উপর পড়া জাভা অবজেক্ট সিরিয়ালাইজেশন প্রোটোকল, আমি হেক্স বাইট ডিকোড করতে পরিচালিত:
হেক্স বাইট |
প্রতীক/অর্থ |
মন্তব্য (মনোস্পেসযুক্ত ফন্টে হেক্স বাইটের ASCII মান) |
ACED |
স্ট্রিম_ম্যাজিক |
একটি ম্যাজিক সংখ্যা। |
0005 |
STREAM_VERSION |
স্ট্রিম প্রোটোকল সংস্করণ হল 2। |
73 |
TC_OBJECT |
একটি বস্তুর শুরু. |
72 |
TC_CLASSDESC |
একটি ক্লাস সংজ্ঞা শুরু. |
001F |
লম্বা |
ক্লাসের নামটির দৈর্ঘ্য 31 বাইট। |
536174656 সি 6 সি 697465517 |
মূল্য |
ক্লাসের নাম হল SatelliteQueryFileFolderUtility. |
12D4F68D0EB392CB |
serialVersionUID |
এই ক্রমিক শ্রেণির সাথে যুক্ত একটি অনন্য শনাক্তকারী। |
02 |
SC_SERIALIZABLE |
ক্লাসটি সিরিয়াল করা যায়। |
0003 |
ক্ষেত্র গণনা |
ক্লাসের তিনটি ক্ষেত্র রয়েছে। |
5A |
ডেটা টাইপ - ASCII মান Z |
প্রথম ক্ষেত্রটি একটি বুলিয়ান। |
0007 |
লম্বা |
এই ক্ষেত্রের নামের দৈর্ঘ্য 7 বাইট। |
69735175657279 |
নাম |
এই মাঠের নাম isQuery. |
5A |
ডেটা টাইপ - ASCII মান Z |
দ্বিতীয় ক্ষেত্রটি একটি বুলিয়ান। |
0008 |
লম্বা |
এই ক্ষেত্রের নামের দৈর্ঘ্য 8 বাইট। |
6973557064617465 |
নাম |
এই মাঠের নাম আপডেট. |
4C |
ডেটা টাইপ - ASCII মান L |
তৃতীয় ক্ষেত্রটি একটি বস্তু। |
000F |
লম্বা |
এই ক্ষেত্রের নামের দৈর্ঘ্য 15 বাইট। |
706174684F72537 |
নাম |
এই মাঠের নাম pathOrStatement . |
74 |
TC_STRING |
এই বস্তুর ক্লাস টাইপ একটি স্ট্রিং দেওয়া হয়. |
0012 |
লম্বা |
এই স্ট্রিংটির দৈর্ঘ্য 18 বাইট। |
4C6A6176612F6C616E |
মূল্য |
এই অবজেক্টের ক্লাস টাইপ java/lang/স্ট্রিং. |
78 |
TC_ENDBLOCKDATA |
একটি ক্লাস সংজ্ঞা শেষ. |
70 |
TC_NULL |
কোনো সুপারক্লাস সংজ্ঞায়িত করা হয়নি। |
00 |
মূল্য |
বুলিয়ান ক্ষেত্র isQuery মান আছে মিথ্যা. |
00 |
মূল্য |
বুলিয়ান ক্ষেত্র আপডেট মান আছে মিথ্যা. |
74 |
TC_STRING |
এর মূল্য pathOrStatement ক্ষেত্র হল একটি স্ট্রিং। |
0029 |
লম্বা |
এর মূল্য pathOrStatement ক্ষেত্রের দৈর্ঘ্য 41 বাইট। |
2F6F70742F536174656C6 |
মূল্য |
এর মূল্য pathOrStatement ক্ষেত্র হয় /opt/SatelliteQueryFileFolderUtility.java |
Wireshark এর মাধ্যমে এই বস্তুটি অর্জন করার ফলে একটি ভুল জাদু নম্বর ফিরে এসেছে এবং serialVersionUID, কিন্তু HEX ফাংশন ব্যবহার করার সময় নয়।
বুঝতে কি একটি ঢোকান মধ্যে satellite_query টেবিলটি করবে, আমি এই বস্তুটিকে টেবিলের একটি নতুন সারিতে ঢোকিয়েছি এবং একই জাভা সোর্স কোড ফিরে পেয়েছি ফলাফল কলাম প্রকৃতপক্ষে, এই আচরণটি আমি সেই কোডটিতে যা দেখেছি তার সাথে মিলে যায় ফলাফল পান একটি ফাংশন SatelliteQueryFileFolderUtility অবজেক্ট।
এই ফাংশনটি অবজেক্টের তিনটি ক্ষেত্রের মানের উপর নির্ভর করে একটি ভিন্ন এক্সিকিউশন পাথ নেয়: isQuery, আপডেট, এবং pathOrStatement. আমি যদিsQuery এবং আপডেট মিথ্যা হয়, তারপর ফাংশন চেক করে কিনা pathOrStatement একটি পথ এবং একটি ডিরেক্টরি। যদি তাই হয়, এটি ডিরেক্টরিতে থাকা ফাইলগুলির তালিকা প্রদান করে; অন্যথায়, এটি অনুমান করে যে একটি ফাইল সরবরাহ করা হয়েছে এবং সেই ফাইলের বিষয়বস্তু ফেরত দেওয়ার চেষ্টা করা হয়েছে।
অন্যদিকে, যদি isQuery এবং isUpdate সত্য হয়, তাহলে ফাংশনটি pathOrStatement-এর বিষয়বস্তুকে SQL হিসেবে চালায় হালনাগাদ বিবৃতি আমাকে চালানোর জন্য যা দরকার ছিল তা হল:
আপডেট পয়েন্টিং_মোড সেট করুন সংখ্যাসূচক_মোড = 1;
আমি সিরিয়ালাইজড অবজেক্টে প্রয়োজনীয় বাইট (নীচে হাইলাইট) পরিবর্তন করেছি এবং বিজয়ী কমান্ডটি ইনজেক্ট করেছি:
; satellite_query-এ ঢোকান
(বস্তু)
মূল্যবোধ
(0xACED00057372001F536174656C6C697465517565727946696C65466F6C6465725574696C69747912D4F68D0EB392CB0200035A0007697351756572795A000869735570646174654C000F706174684F7253746174656D656E747400124C6A6176612F6C616E672F537472696E673B7870010174002C55504441544520706F696E74696E675F6D6F646520534554206E756D65726963616C5F6D6F6465203D20313B)
শেষ করি
এগুলি 2023 SANS হলিডে হ্যাক চ্যালেঞ্জের অন্তর্ভুক্ত কিছু এলাকা; এর নিরাপত্তার দিকে তাকিয়ে আরও অনেকে ছিলেন JSON ওয়েব টোকেন, দিয়ে পাসওয়ার্ড ক্র্যাক করা হ্যাশক্যাট, লাগেজ লক ভার্চুয়াল ক্র্যাকিং এবং ঘূর্ণমান সংমিশ্রণ লক, পাইথন NaN ইনজেকশন, ব্যবহার করে কুস্টো কোয়েরি ভাষা উন্নত হুমকি শিকার, পরীক্ষা করা হচ্ছে DKIM এবং SPF রেকর্ড দূষিত ইমেল এবং হ্যাকযোগ্য মিনিগেম সনাক্ত করতে সাহায্য করতে।
সর্বোপরি, আমি নিশ্চিত যে এই ধরনের বিস্তৃত মজার চ্যালেঞ্জগুলি যে কেউ সেগুলি গ্রহণ করার চেষ্টা করে তাদের জন্য শিক্ষামূলক হতে পারে না। এবং যখন আমি ইতিমধ্যেই পরের বছরের চ্যালেঞ্জের জন্য অপেক্ষা করছি, তখন এই বছরের চ্যালেঞ্জকে একত্রিত করার জন্য SANS হলিডে হ্যাক চ্যালেঞ্জের আয়োজকদের একটি ভালভাবে অর্জিত ধন্যবাদ।
আপনি আমার 2022 চ্যালেঞ্জ থেকে হাইলাইট পড়তে পারেন এটা ফাটল! KringleCon 5 থেকে হাইলাইট: গোল্ডেন রিং.
- এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
- PlatoData.Network উল্লম্ব জেনারেটিভ Ai. নিজেকে ক্ষমতায়িত করুন। এখানে প্রবেশ করুন.
- প্লেটোএআইস্ট্রিম। Web3 ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
- প্লেটোইএসজি। কার্বন, ক্লিনটেক, শক্তি, পরিবেশ সৌর, বর্জ্য ব্যবস্থাপনা. এখানে প্রবেশ করুন.
- প্লেটো হেলথ। বায়োটেক এবং ক্লিনিক্যাল ট্রায়াল ইন্টেলিজেন্স। এখানে প্রবেশ করুন.
- উত্স: https://www.welivesecurity.com/en/cybersecurity/cracking-2023-sans-holiday-hack-challenge/
- : আছে
- : হয়
- :না
- :কোথায়
- $ ইউপি
- 1
- 11
- 15%
- 2022
- 2023
- 31
- 32
- 41
- 65
- 7
- 8
- a
- সক্ষম
- সম্পর্কে
- উপরে
- অপব্যবহার
- নির্যাতিত
- গ্রহণ
- প্রবেশ
- অর্জন
- অর্জিত
- অর্জন
- কর্ম
- সক্রিয়
- সক্রিয় ডিরেক্টরি
- যোগ
- অতিরিক্ত
- ঠিকানা
- অ্যাডমিন
- পরামর্শ
- পর
- আবার
- বয়স
- এজেন্সি
- AI
- সব
- অনুমতি
- অনুমতি
- অনুমতি
- বরাবর
- ইতিমধ্যে
- এছাড়াও
- বিকল্প
- যদিও
- সর্বদা
- am
- মধ্যে
- an
- এবং
- অন্য
- উত্তর
- কোন
- যে কেউ
- API
- API গুলি
- অ্যাপ্লিকেশন
- প্রযোজ্য
- অভিগমন
- অ্যাপস
- রয়েছি
- এলাকার
- যুক্তি
- কাছাকাছি
- AS
- জিজ্ঞাসা করা
- যুক্ত
- অনুমান
- At
- প্রচেষ্টা
- অডিও
- বিশুদ্ধতা প্রমাণ করা
- প্রমাণীকরণ
- প্রমাণীকরণ
- অনুমোদন
- সহজলভ্য
- দূরে
- নভোনীল
- পিছনে
- খারাপ
- মূলত
- BE
- কারণ
- হয়েছে
- আচরণ
- নিচে
- সর্বোত্তম
- বিট
- উভয়
- পাদ
- সম্প্রচার
- কিন্তু
- বোতাম
- by
- কল
- নামক
- কল
- ক্যামেরা
- CAN
- না পারেন
- যত্ন
- কিছু
- শংসাপত্র
- সার্টিফিকেট
- চ্যালেঞ্জ
- চ্যালেঞ্জ
- পরিবর্তন
- পরিবর্তিত
- চ্যাটজিপিটি
- চেক করা হয়েছে
- পরীক্ষণ
- চেক
- শ্রেণী
- মক্কেল
- CloudFlare
- কোড
- কয়েন
- সংগ্রহ করা
- স্তম্ভ
- সমাহার
- আসে
- যোগাযোগ
- উপযুক্ত
- পরিবেশ
- কনফিগারেশন
- নিশ্চিত
- বিভ্রান্ত
- সংযোগ করা
- সংযোগ
- ভোক্তা
- অন্তর্ভুক্ত
- আধার
- বিষয়বস্তু
- সুখী
- নিয়ন্ত্রণ
- নিয়ন্ত্রণগুলি
- সমন্বয়
- নকল
- সঠিকভাবে
- চিঠিপত্র
- পারা
- আবৃত
- ফাটল
- ক্রেকিং
- সৃষ্টি
- সৃষ্টি
- এখন
- প্রথা
- সাইবার নিরাপত্তা
- ডেটাবেস
- ডিলিং
- ডিফল্ট
- সংজ্ঞায়িত
- সংজ্ঞা
- নির্ভর করে
- মোতায়েন
- আকাঙ্ক্ষিত
- বিস্তারিত
- উন্নত
- উন্নয়নশীল
- DID
- The
- বিভিন্ন
- পৃথক
- সরাসরি
- আবিষ্কার করা
- আবিষ্কৃত
- do
- ডকশ্রমিক
- ডকার কনটেইনার
- না
- ডোমেইন
- ডোমেন নাম
- দরজা
- নিচে
- কারণে
- মনমরা ভাব
- সময়
- আয় করা
- রোজগার
- পৃথিবী
- সহজে
- পারেন
- ইমেল
- এনকোডেড
- এনক্রিপ্ট করা
- শেষ
- শেষপ্রান্ত
- এন্ড পয়েন্ট
- প্রকৌশল
- যথেষ্ট
- প্রবেশ করান
- প্রবিষ্ট
- সমগ্র
- ভুল
- ত্রুটি
- ধাপে ধাপে বৃদ্ধি করা
- ইউরোপিয়ান
- ইউরোপীয় স্পেস এজেন্সি
- এমন কি
- সব
- ছাড়া
- এক্সিকিউট
- নিষ্পন্ন
- executes
- ফাঁসি
- অভিজ্ঞতা
- ব্যাখ্যা করা
- কাজে লাগান
- মুখ
- সত্য
- ব্যর্থ
- নকল
- মিথ্যা
- এ পর্যন্ত
- সমন্বিত
- কয়েক
- ক্ষেত্র
- ক্ষেত্রসমূহ
- ব্যক্তিত্ব
- মূর্ত
- ফাইল
- নথি পত্র
- চূড়ান্ত
- আবিষ্কার
- প্রথম
- নির্দলীয়
- অনুসৃত
- অনুসরণ
- জন্য
- অগ্রবর্তী
- পাওয়া
- ফ্রেমওয়ার্ক
- থেকে
- সম্পূর্ণ
- মজা
- ক্রিয়া
- লাভ করা
- খেলা
- গেমপ্লের
- গেম
- উত্পাদন করা
- উত্পন্ন
- পাওয়া
- প্রদত্ত
- Goes
- সুবর্ণ
- ভাল
- প্রদান
- মঞ্জুর হলেই
- অনুদান
- স্থল
- গ্রুপ
- পাহারা
- টাট্টু ঘোড়া
- ছিল
- হাত
- কাটা
- আছে
- মাথা
- সাহায্য
- এখানে
- HEX
- গোপন
- সর্বোচ্চ
- হাইলাইট করা
- হাইলাইট
- তার
- ছুটির দিন
- হোম
- নিমন্ত্রণকর্তা
- কিভাবে
- কিভাবে
- যাহোক
- এইচটিএমএল
- HTTP
- HTTPS দ্বারা
- শিকার
- i
- ID
- আদর্শভাবে
- চিহ্নিত
- আইডেন্টিফায়ার
- সনাক্ত করা
- পরিচয়
- if
- ভাবমূর্তি
- অবিলম্বে
- উন্নত
- in
- ইন-গেম
- দুর্গম
- জ্ঞাপিত
- তথ্য
- তথ্য
- পরিবর্তে
- নির্দেশাবলী
- স্বার্থ
- ইন্টারফেস
- মধ্যে
- জড়িত
- IP
- আইপি ঠিকানা
- দ্বীপ
- ইস্যু করা
- IT
- এর
- জাভা
- JPG
- চাবি
- কী
- ভাষা
- বড়
- পরে
- বরফ
- লম্বা
- লেভারেজ
- মিথ্যা
- আলো
- লাইন
- লিনাক্স
- তালিকা
- তালিকাভুক্ত
- অবস্থান
- লক্স
- লগ
- লগিং
- লগইন
- দেখুন
- তাকিয়ে
- খুঁজছি
- মেশিন
- প্রণীত
- জাদু
- করা
- মেকিং
- বিদ্বেষপরায়ণ
- পরিচালিত
- অনেক
- মানচিত্র
- মে..
- me
- পদ্ধতি
- সম্মেলন
- উল্লিখিত
- বার্তা
- পদ্ধতি
- মাইক্রোসফট
- মোড
- মডেল
- সেতু
- সরানো হয়েছে
- অনেক
- বহু
- অবশ্যই
- my
- নাম
- নেভিগেট
- প্রয়োজনীয়
- প্রয়োজন
- প্রয়োজন
- নেটওয়ার্ক
- নতুন
- পরবর্তী
- নয়
- না।
- না
- উত্তর
- স্মরণীয়
- এখন
- nt
- সংখ্যা
- লক্ষ্য
- উদ্দেশ্য
- উদ্দেশ্য
- প্রাপ্ত
- প্রাপ্ত
- of
- অফার
- on
- অনবোর্ড
- একদা
- ONE
- কেবল
- or
- উদ্যোক্তারা
- অন্যান্য
- অন্যরা
- অন্যভাবে
- বাইরে
- আউটপুট
- শেষ
- নিজের
- মালিক
- জোড়া
- শার্সি
- স্থিতিমাপ
- অংশ
- যন্ত্রাংশ
- পাসিং
- পাসওয়ার্ড
- পাসওয়ার্ড
- গত
- পথ
- পিডিএফ
- অনুমতি
- অনুমতি
- পিএইচপি
- ছবি
- টুকরা
- জায়গা
- Plato
- প্লেটো ডেটা ইন্টেলিজেন্স
- প্লেটোডাটা
- খেলা
- খেলোয়াড়
- বিন্দু
- পয়েন্ট
- পোর্টাল
- পোস্ট
- শক্তির উৎস
- বর্তমান
- আগে
- অধ্যক্ষ
- প্রিন্ট
- বিশেষাধিকার
- পণ্য
- বৈশিষ্ট্য
- প্রোটোকল
- প্রদান
- প্রদত্ত
- উপলব্ধ
- প্রকাশ্য
- পাবলিক কী
- প্রকাশিত
- প্রকাশক
- স্থাপন
- প্রশ্ন
- প্রশ্ন
- R
- রেডিও
- র্যাম
- পড়া
- পড়া
- গ্রহণ করা
- গৃহীত
- পুনর্নির্দেশ
- নিবন্ধন
- নিয়মিত
- নিয়মিতভাবে
- অপসারিত
- অনুবাদ
- প্রতিস্থাপন করা
- রিপোর্ট
- অনুরোধ
- অনুরোধ
- প্রয়োজন
- প্রয়োজনীয়
- প্রয়োজন
- সংস্থান
- দায়ী
- বিশ্রাম
- প্রত্যাবর্তন
- আয়
- প্রকাশ করা
- প্রকাশিত
- প্রকাশক
- বিপরীত
- ঝুঁকি
- কক্ষ
- শিকড়
- মূল গমন
- সারিটি
- চালান
- দৌড়
- সুরক্ষা
- একই
- উপগ্রহ
- করাত
- তালিকাভুক্ত
- লিপি
- সার্চ
- অনুসন্ধানের
- দ্বিতীয়
- অধ্যায়
- বিভাগে
- নিরাপত্তা
- নিরাপত্তা ঝুঁকি
- দেখ
- মনে
- রেখাংশ
- নির্বাচন করা
- পাঠান
- ক্রম
- গম্ভীর
- সার্ভার
- সেবা
- সেবা
- সেট
- বিভিন্ন
- শেয়ার
- উচিত
- প্রদর্শনী
- স্বাক্ষর
- সহজ
- সরলীকৃত
- দক্ষতা
- ছোট
- সাহায্যে SMB
- স্ন্যাপশট
- So
- সফটওয়্যার
- কিছু
- উৎস
- সোর্স কোড
- স্থান
- কথা বলা
- ভাষী
- নির্দিষ্ট
- বিশেষভাবে
- এসকিউএল
- স্কয়ার ইনজেকশন
- শুরু
- শুরু
- শুরু হচ্ছে
- বিবৃতি
- স্টেশন
- ধাপ
- প্রারম্ভিক ব্যবহারের নির্দেশাবলী
- বাঁধন
- সঞ্চিত
- গল্প
- প্রবাহ
- স্ট্রিং
- বিষয়
- সাবস্ক্রাইব
- চাঁদা
- সফলভাবে
- এমন
- অনুসরণ
- সূর্য
- সরবরাহকৃত
- সরবরাহ
- নিশ্চিত
- সুইচ
- পদ্ধতি
- টেবিল
- গ্রহণ করা
- ধরা
- লাগে
- লক্ষ্য
- লক্ষ্য করে
- কার্য
- কাজ
- বলছে
- টেমপ্লেট
- টেমপ্লেট
- পরীক্ষা
- প্রমাণিত
- পরীক্ষামূলক
- পাঠ
- ধন্যবাদ
- যে
- সার্জারির
- তথ্য
- উৎস
- তাহাদিগকে
- তারপর
- সেখানে।
- এইগুলো
- তৃতীয়
- এই
- তিন
- এইভাবে
- সময়
- শিরনাম
- থেকে
- একসঙ্গে
- টোকেন
- গ্রহণ
- টুল
- সরঞ্জাম
- রেলগাড়ি
- চেষ্টা
- ট্রিগার
- সত্য
- পরিণত
- দুই
- আদর্শ
- পরিণামে
- অধীনে
- বোঝা
- অনন্য
- অজানা
- পর্যন্ত
- আসন্ন
- আপডেট
- কোনো URI
- URL টি
- ব্যবহার
- ব্যবহার
- ব্যবহৃত
- ব্যবহারকারী
- ব্যবহারকারী
- ব্যবহার
- উপযোগ
- বৈধ
- মূল্য
- মানগুলি
- খিলান
- উপকরণ
- সংস্করণ
- মাধ্যমে
- চেক
- ভার্চুয়াল
- ভার্চুয়াল মেশিন
- চাক্ষুষ
- কণ্ঠস্বর
- ভয়েস প্রমাণীকরণ
- দুর্বলতা
- দুর্বলতা
- জেয়
- চেয়েছিলেন
- ছিল
- উপায়..
- we
- ওয়েব
- আমরা একটি
- ছিল
- কি
- কখন
- কিনা
- যে
- যখন
- হু
- উইকিপিডিয়া
- বায়ু
- জানালা
- জয়লাভ
- সঙ্গে
- শব্দ
- would
- এখনো
- আপনি
- আপনার
- zephyrnet